← België

Beslissing ten gronde nr. 47/2022

1/82 Geschillenkamer Beslissing ten gronde 47/2022 van 4 april 2022 Deze beslissing werd gedeeltelijk vernietigd door het arrest 2022/AR/556 van het Marktenhof dd. 7 december 2022 Dossiernummer: DOS-2020-04002 Betreft: Gebruik van warmtebeeldcamera's op de luchthaven Brussels South Charleroi Airport in de strijd tegen COVID-19 De Geschillenkamer van de Gegevensbeschermingsautoriteit, bestaande uit de heer Hielke Hijmans, voorzitter, en de heren Jelle Stassijns en Romain Robert; Gelet op de verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, en tot intrekking van richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming), hierna 'AVG'; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna 'WOG'; Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna 'WVP'); Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken in het dossier; heeft de volgende beslissing genomen inzake: . De verweerder: BSCA nv, met maatschappelijke zetel in de Rue des Frères Wright 8, 6041 Charleroi, . ingeschreven met ondernemingsnummer 0444.556.344, vertegenwoordigd door mr. . Frédéric Deschamps en mr. Nathan Vanhelleputt, hierna 'de verweerder' genoemd. Beslissing ten gronde 47/2022 - 2/73 I. Feiten en procedure

  1. Op 28 augustus 2020 besliste de Inspectiedienst om de zaak op eigen initiatief aanhangig te maken conform artikel 63, 6° van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit.
  2. Deze beslissing werd genomen na ernstige aanwijzingen omtrent het gebruik van warmtebeeldcamera's door de naamloze vennootschap Brussels South Charleroi Airport (hierna 'BSCA nv' genoemd) om de verspreiding van COVID-19 tegen te gaan. De beslissing was met name gerechtvaardigd op basis van de volgende elementen: - Artikels en publicaties van verschillende Belgische kranten en mediasites die verwezen naar het gebruik van warmtebeeldcamera's door BSCA nv; - De FAQ (Frequently Asked Questions) op de website van de Gegevensbeschermingsautoriteit (hierna 'GBA') over het controleren van de lichaamstemperatuur in het kader van de strijd tegen COVID-19; - Het persbericht van 17 juni 2020 dat de GBA op haar website 1 publiceerde betreffende het contact dat met Brussels Airport werd opgenomen over de door deze laatste uitgevoerde temperatuurcontroles; - De mogelijke verwerking van gegevens in verband met de gezondheid 'waarvoor betere bescherming is vereist' zoals in de AVG vermeld staat; 2 - De mogelijke verwerking op grote schaal; - Het belang dat de GBA hecht aan verwerkingen die verband houden met 'het gebruik van foto's en camera's' en 'gevoelige gegevens'3 conform haar strategisch plan 2020-
  4. Op 18 april 2021 rondde de Inspectiedienst het onderzoek af en werd het verslag door de inspecteurgeneraal aan de voorzitter van de Geschillenkamer overgemaakt (art. 91, §2 WOG).
  5. Het verslag bevat de volgende vaststellingen en weerhield de volgende inbreuken: Vaststelling 1: Schending van het beginsel van de rechtmatigheid van de verwerking en de noodzaak van de maatregel conform de artikelen 5.1.a, 5.1.c, 6 en 9 van de AVG Vaststelling 2: Schending van het principe van de doelbinding conform artikel 5.1.b van de AVG 1 Beschikbaar op de volgende link: https://www.gegevensbeschermingsautoriteit.be/burger/temperatuurcontroles-de-gba-neemtcontact-op-met-brussels-airport 2 AVG, overweging
  6. 3 Gegevensbeschermingsautoriteit, 'Strategisch plan 2020-2025', pag.
  7. Beslissing ten gronde 47/2022 - 3/73 Vaststelling 3: Schending van het transparantieprincipe en de informatieplicht conform de artikelen 5.1.a, 12 en 13 van de AVG Vaststelling 4: Schending van de verplichting om vóór de verwerking een gegevensbeschermingseffectbeoordeling uit te voeren (inbreuk op artikel 35.1) Vaststelling 5: Schending van het confidentialiteitsprincipe en van de verplichting om technische en organisatorische maatregelen te treffen om de gegevens te beveiligen (artikelen 5.1.f en 32 AVG) Vaststelling 6: Schending van het principe van de gegevensbescherming door ontwerp en door standaardinstellingen (artikel 25 AVG) Vaststelling 7: Schending van de verplichting om een volledig register van de verwerkingsactiviteiten bij te houden Vaststelling 8: Schending van de verplichting om de onafhankelijkheid van de functionaris voor gegevensbescherming te garanderen conform artikel 38.3 van de AVG
  8. Op 5 oktober 2021 besliste de Geschillenkamer op grond van artikel 95, §1, 1° en artikel 98 van de WOG dat het dossier ten gronde kon worden behandeld. De verweerder werd hiervan per aangetekende brief op de hoogte gebracht, zoals artikel 95, §2 en artikel 98 van de WOG voorschrijven. Tevens werd hij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om zijn conclusie in te dienen.
  9. De uiterste datum voor de ontvangst van de conclusie van antwoord van de verweerder werd vastgesteld op 16 juni
  11. Op 20 mei 2021 vroeg de verweerder een kopie van het dossier (art. 95, §2, 3° WOG), die hem op 31 mei 2021 werd overgemaakt.
  12. De verweerder stemde ermee in alle mededelingen betreffende de zaak langs elektronische weg te ontvangen en deelde mee gebruik te willen maken van de mogelijkheid om te worden gehoord conform artikel 98 van de WOG. Hij verzocht eveneens om een verlenging van de conclusietermijn tot 1 september
  14. In haar brief van 31 mei 2021 stemde de Geschillenkamer in met een verlenging van de conclusietermijn tot 9 juli
  15. In een e-mailbericht van 1 juni 2021 verzocht de verweerder opnieuw om een verlenging van de conclusietermijn tot 1 september.
  16. In een e-mailbericht van de griffie van de Geschillenkamer van 4 juni 2021 werd de concluant verzocht uiterlijk op 23 juli 2021 zijn conclusie in te dienen.
  17. Op 23 juli 2021 ontving de Geschillenkamer de conclusie van antwoord van de verweerder. Beslissing ten gronde 47/2022 - 4/73
  18. Op 6 september 2021 werden alle partijen ervan in kennis gesteld dat de hoorzitting op 6 oktober 2021 zou plaatsvinden.
  19. Op 1 oktober 2021 stuurde de Geschillenkamer de verweerder een lijst met vragen ter voorbereiding van de hoorzitting.
  20. Op vraag van de verweerder werd de hoorzitting uitgesteld tot 22 oktober
  22. Op 18 oktober 2021 ontving de Geschillenkamer de conclusie van antwoord van de verweerder.
  23. Op 22 oktober 2021 werden de partijen gehoord door de Geschillenkamer. Naast de elementen die reeds in zijn conclusie werden uiteengezet, voerde de verweerder bijkomende elementen aan, met name in verband met de transparantie en het confidentialiteitsbeleid.
  24. Op 18 november 2021 werd het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
  25. Op 25 november 2021 ontving de Geschillenkamer de opmerkingen van de verweerder aangaande het proces-verbaal.
  26. Op 15 februari 2022 deelde de Geschillenkamer de verweerder haar voornemen mee om een administratieve geldboete op te leggen, evenals het bedrag van deze boete.
  27. Op 9 maart 2022 ontving de Geschillenkamer de reactie van de verweerder met betrekking tot het voornemen om een administratieve geldboete op te leggen en het bedrag van de boete. Deze argumenten zijn samengevat onder punt 'III. Sanctie'. II. Motivering II.
  28. Voorafgaande beschouwingen
  29. De Geschillenkamer wijst er allereerst op dat deze beslissing betrekking heeft op de verwerking van persoonsgegevens binnen de context van de COVID-19-pandemie.
  30. In het kader van deze gezondheidscrisis werden en worden ongeziene maatregelen getroffen die de verwerking van (bijzondere categorieën van) persoonsgegevens impliceren.
  31. Gezien deze crisissituatie heeft de Geschillenkamer begrip voor de urgentie waarmee sommige van deze maatregelen door de bevoegde autoriteiten en diensten moesten worden genomen en door de betrokken verwerkingsverantwoordelijken moesten worden uitgevoerd. Zij heeft ook oor voor de moeilijkheden die inherent zijn aan deze situatie. Er moet echter worden benadrukt dat dit niets afdoet aan het feit dat de AVG en de overige wetgeving inzake de bescherming van persoonsgegevens, die een essentiële bescherming vormen voor de rechten en vrijheden van de betrokkenen, nog steeds van toepassing zijn. Crisissituaties rechtvaardigen niet dat wordt Beslissing ten gronde 47/2022 - 5/73 afgeweken van de voorschriften van de AVG. Wel integendeel. In dergelijke omstandigheden, waarin de individuele vrijheden vaak worden bedreigd, is het belangrijk het juridisch kader te eerbiedigen waarmee misbruiken en schendingen van de grondrechten net kunnen worden voorkomen.
  32. Het toezicht van de Gegevensbeschermingsautoriteit op de technologische, commerciële of andere ontwikkelingen4 en de voorafgaande adviezen van het Kenniscentrum doen geen afbreuk aan de plicht van de verwerkingsverantwoordelijken om de geldende wetgeving na te leven, noch aan het feit dat zij in voorkomend geval door de Geschillenkamer kunnen worden gesanctioneerd. II.
  33. Voorafgaande vragen met betrekking tot de hoedanigheid van de Geschillenkamer van de Gegevensbeschermingsautoriteit als administratieve overheid:
  34. In zijn conclusies werpt verweerder drie voorafgaande vragen op die zullen worden behandeld voordat de zaak ten gronde zal worden behandeld. II.2.
  35. Ontbreken van motivering van de beslissing tot behandeling van het dossier ten gronde
  36. De verweerder geeft in zijn conclusies aan dat "de beslissing om het dossier ten gronde te behandelen niet juridisch is gemotiveerd in de zin van de wet van 29 juli 1991 betreffende de formele motivering van bestuurshandelingen en de rechtspraak van het Hof van Beroep te Brussel, sectie Marktenhof." [vrije vertaling]
  37. Volgens de rechtspraak van het Marktenhof waarnaar wordt verwezen, is de Geschillenkamer namelijk verplicht om "in de motivering de juridische en feitelijke overwegingen te vermelden waarop de beslissing gebaseerd is, terwijl deze motivering voldoende moet zijn om de beslissing te onderbouwen." [vrije vertaling] Deze motiveringsplicht bestaat vanuit zowel formeel als materieel oogpunt. Het Marktenhof voegt daaraan toe dat "het volstaat om de beweegredenen duidelijk, zo nodig beknopt, in de beslissing zelf te vermelden." 5 [vrije vertaling]
  38. De Geschillenkamer stelt vast dat in dit dossier aan deze voorwaarden voldaan is. De beslissing om de zaak ten gronde te behandelen werd namelijk aan de verweerder meegedeeld in een brief van 5 mei
  39. In de brief wordt uitdrukkelijk vermeld dat de beslissing om de zaak ten gronde te behandelen gebaseerd is op de vaststellingen van het onderzoeksverslag van de Inspectiedienst. De brief vermeldt de acht mogelijke inbreuken op de AVG die de Inspectiedienst vaststelde en legt uit dat deze het voorwerp uitmaken van een onderzoek ten gronde. Het onderzoeksverslag werd overigens ook bij de brief gevoegd. De brief van 5 mei 2020 vermeldt verder ook dat de beslissing 4 Artikel 10 WOG. Brussel, (sectie Marktenhof), (19e Kamer A), 21 januari 2021, punt 7.3, beschikbaar in het Frans op https://www.autoriteprotectiondonnees.be/publications/arret-du-27-janvier-2021-de-la-cour-des-marches-ar-1333.pdf. 5 Beslissing ten gronde 47/2022 - 6/73 om de zaak ten gronde te behandelen werd genomen op basis van de artikelen 95, §1, 1° en 98 van de WOG. II.2.
  40. Gebrek aan onafhankelijkheid en onpartijdigheid van de Gegevensbeschermingsautoriteit
  41. De verweerder betoogt in zijn conclusie dat de Gegevensbeschermingsautoriteit in haar geheel tekortschiet op het vlak van haar verplichting tot onpartijdigheid en onafhankelijkheid. De verweerder baseert dit argument op verschillende persartikels, waarin melding wordt gemaakt van conflicten binnen de Gegevensbeschermingsautoriteit en de inleiding van een inbreukprocedure door de Europese Commissie.
  42. De Geschillenkamer merkt allereerst op dat de verweerder zich in zeer algemene bewoordingen op een gebrek aan onpartijdigheid en onafhankelijkheid van de Gegevensbeschermingsautoriteit beroept, zonder naar specifieke feiten of een specifiek lid van de Autoriteit te verwijzen, en zonder zijn overwegingen te koppelen aan enige beslissing of bestuurshandeling van de Gegevensbeschermingsautoriteit in dit dossier.
  43. Op geen enkel moment geeft de verweerder aan hoe de onafhankelijkheid of de onpartijdigheid van de Geschillenkamer ter discussie zou kunnen staan. II.2.
  44. Misbruik van bevoegdheid Kritiek op de inhoud van de norm in het inspectieverslag, de vaststelling die op basis hiervan werd gedaan en het misbruik van bevoegdheid dat hieruit voortvloeit
  45. De verweerder betwist in zijn conclusie dat de Inspectiedienst de vorm of de inhoud van een uitvoerbare wettelijke norm in vraag kan stellen in andere gevallen dan deze waarin artikel 6 van de wet van 3 december 2017 voorziet. Hij formuleert deze kritiek als volgt: "Door het ministerieel besluit en het protocol openlijk te bekritiseren en de rechtmatigheid hiervan in twijfel te trekken om vervolgens op grond hiervan vast te stellen dat er sprake is van een inbreuk in hoofde van concluant, stelt de Inspectiedienst dus de inhoud van de rechtsgrondslag in vraag waarop concluant zich voor de verwerking van persoonsgegevens baseerde. Eigenlijk stelt de inspectie dus de inhoud ter discussie van een norm die tijdens een gezondheidscrisis door de uitvoerende macht werd uitgevaardigd."6
  46. In het kader van haar opdrachten die in artikel 4 van de WOG vastgelegd zijn, is de Gegevensbeschermingsautoriteit "verantwoordelijk voor het toezicht op de naleving van de grondbeginselen van de bescherming van de persoonsgegevens." Een van de grondbeginselen van het recht op bescherming van persoonsgegevens is het principe van de rechtmatigheid, dat 6 Conclusie van de verweerder, §
  47. [vrije vertaling] Beslissing ten gronde 47/2022 - 7/73 vastgelegd is in de artikelen 5.1.a en 6 van de AVG. Dit principe stelt elke verwerking van persoonsgegevens afhankelijk van een grondslag voor rechtmatigheid, waarvan de verwerkingsverantwoordelijke het bestaan moet kunnen aantonen op grond van het in artikel 24 van de AVG vastgelegde verantwoordingsbeginsel.
  48. In dit geval beriep de verweerder zich tijdens het onderzoek van de Inspectiedienst en in zijn conclusie op artikel 6.1.c als grondslag voor rechtmatigheid. Dit artikel luidt als volgt: "De verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust."
  49. De Geschillenkamer herinnert er in dit verband aan dat, hoewel de Inspectiedienst het onderzoeksorgaan van de GBA7 is, alleen de Geschillenkamer bevoegd is om een beslissing te nemen op basis van de vaststellingen van de Inspectiedienst. Er kan dus geen sprake zijn van misbruik van bevoegdheid door de Inspectiedienst, die niet bevoegd is om over de grond van de zaak te beslissen.
  50. Verder bestaat de naleving van het principe van de rechtmatigheid erin om te verifiëren of de door de verwerkingsverantwoordelijke aangevoerde wettelijke verplichting wel degelijk bestaat en of de verwerking noodzakelijk is om deze wettelijke verplichting na te komen. Het is dan ook niet de bedoeling om, zoals de verweerder stelt, het ministerieel besluit en het protocol 8 ter discussie te stellen, maar wel om na te gaan of de door de verwerkingsverantwoordelijke verrichte verwerkingen rechtmatig zijn en binnen het wettelijk kader vallen dat door deze rechtsinstrumenten werd vastgelegd. Indien de Geschillenkamer tijdens haar onderzoek vaststelt dat de norm waarop een verwerking gebaseerd zou zijn, niet aan de vereisten van de AVG voldoet, kan zij tot de conclusie komen dat de verwerking onrechtmatig is.
  51. Deze benadering wordt ook gevolgd in het onderzoeksverslag van de Inspectiedienst waarin met name wordt gesteld dat "bij een onderzoek naar de rechtmatigheid van de verwerking moet worden nagegaan of: - er een reden van algemeen belang is op het gebied van de volksgezondheid conform artikel 9.2.i van de AVG; - er een wettelijke bepaling is waarop de verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen conform de artikelen 6.1.c, 6.3 en 9.2.i van de AVG; - de betrokken verwerkingen noodzakelijk zijn: ▪ om te voldoen aan de wettelijke verplichting die wordt ingeroepen conform artikel 6.1.c; en 7 Artikel 28 van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit. 8 Belgische FOD Mobiliteit en Vervoer, Protocol 'Commerciële Luchtvaart Passagiers' (zie punt 62 e.v.). Beslissing ten gronde 47/2022 - 8/73 ▪ voor de redenen van algemeen belang op het gebied van de volksgezondheid conform artikel 9.2.i van de AVG."9
  52. Uit deze formulering blijkt duidelijk dat de rechtmatigheid van de verwerking zal worden onderzocht en niet de geldigheid van de normen zelf. Dit wordt bevestigd door de bewoordingen waarin de Inspectiedienst de vaststellingen in het kader van zijn onderzoek beschrijft. De Inspectiedienst stelt immers vast dat de verweerder persoonsgegevens zonder passend wettelijk kader verwerkt, wat in strijd is met de artikelen 6.1, 6.3 en 9.2.i van de AVG. Hieruit blijkt dat het inderdaad de verwerking zelf is die problematisch wordt geacht.
  53. Op grond van deze overwegingen moet het argument van de verweerder inzake een mogelijk misbruik van bevoegdheid worden verworpen. Het feit dat elke geldboete misbruik van bevoegdheid zou inhouden
  54. Zich baserend op de rechtspraak van het Marktenhof haalt de verweerder aan dat "aangezien concluant nooit een bevel tot naleving van de regels of enige andere sanctie heeft gekregen, en de verwerking waarop deze procedure betrekking heeft werd stopgezet op 15 oktober 2020 voor de controles bij aankomst en op 21 maart 2021 voor de controles bij vertrek, ervan moet worden uitgegaan dat elke eventuele financiële sanctie in hoofde van de Geschillenkamer een vorm van misbruik van bevoegdheid zou zijn, in de zin van de rechtspraak van het Hof van Beroep van Brussel, sectie Marktenhof." [vrije vertaling]
  55. De Gegevensbeschermingsautoriteit heeft, net als alle toezichthoudende autoriteiten, de bevoegdheid om administratieve geldboetes op te leggen om de daadwerkelijke toepassing van de AVG te waarborgen, conform de tekst van de AVG zelf. Zoals uit overweging 148 blijkt, kan naast of in de plaats van een aantal passende maatregelen een administratieve geldboete worden opgelegd. 10 De Geschillenkamer past in dit geval artikel 58.2.i van de AVG toe. De mogelijkheid om een administratieve geldboete op te leggen is dus geenszins afhankelijk van een voorafgaand bevel om de regels na te leven. De doeltreffendheid van de toepassing van de AVG zou in het gedrang komen, indien verwerkingsverantwoordelijken zich achter het ontbreken van een voorafgaande 9 Onderzoeksverslag, pag.
  56. [vrije vertaling] 10 Overweging 148 zegt hierover het volgende: "Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling. Zie ook de richtsnoeren van het Europees Comité voor Gegevensbescherming over de toepassing van administratieve geldboeten van 3 oktober 2017, WP 253, waarin wordt bevestigd dat de autoriteiten ervoor kunnen kiezen om verschillende maatregelen, waaronder een administratieve geldboete, te cumuleren." Beslissing ten gronde 47/2022 - 9/73 ingebrekestelling zouden kunnen verschuilen om aan een boete te ontsnappen. Daarom voorzien de AVG en de WOG in verschillende corrigerende maatregelen, waaronder de in artikel 100, §1, 8° en 9° van de WOG genoemde bevelen. De toezichthoudende autoriteit moet steeds een passende maatregel kiezen om de doeltreffende toepassing van de AVG te waarborgen, gebruikmakend van haar discretionaire bevoegdheid 11 die wordt afgelijnd door de procedurele waarborgen en het feit dat de geldboeten 'doeltreffend, evenredig en afschrikkend' moeten zijn.12 II.
  57. Ten gronde II.3.1 Identificatie van de litigieuze verwerkingen en toepasselijkheid van de AVG
  58. Uit de stukken van het dossier en het onderzoeksverslag van de Inspectiedienst blijkt dat het dossier betrekking heeft op temperatuurmetingen die de verweerder op de luchthaven Brussels South Charleroi uitvoerde in het kader van de COVID-19-pandemie.
  59. Het gebruikte systeem omvat twee afzonderlijke procedures: een voor de vertrekkende vluchten en een voor de aankomende vluchten.
  60. Voor de vertrekkende vluchten voerde de verweerder een temperatuurcontrole in voor alle passagiers die vanuit Brussels South Charleroi vertrekken en hun begeleiders. In de pre-checktent werden twee warmtebeeldcamera's geïnstalleerd. Met deze camera's werd een eerste temperatuurmeting uitgevoerd. Het toestel werd in de gaten gehouden door het Rode Kruis en de brandweerdiensten van de verweerder.
  61. Bij een temperatuur van meer dan 38°C werd de betrokken persoon aan een tweede test onderworpen. Die werd uitgevoerd door het personeel dat de schermen in de gaten hield, met behulp van een digitale voorhoofdthermometer. Indien de temperatuur opnieuw hoger was dan 38°C, werd de passagier verzocht zich naar de ziekenboeg te begeven waar een nieuwe temperatuurmeting werd verricht met een digitale thermometer onder de arm. Als de temperatuur bij deze derde meting weer boven de 38°C lag, werd de brandweer op de hoogte gebracht via de radio of telefonisch op het nummer
  62. Een brandweerman stond in voor het opnemen van de anamnese van de betrokken persoon. Dit houdt in dat aan de passagier bijkomende vragen werden gesteld om na te gaan of hij 11 Marktenhof, NDPK t. GBA, 7 juli
  63. Beschikbaar op: https://www.autoriteprotectiondonnees.be/publications/arret-du-7-juillet2021-de-la-cour-des-marches-ar-320-disponible-en-neerlandais.pdf 12 Art. 83.1 van de AVG. Beslissing ten gronde 47/2022 - 10/73 nog andere typische symptomen van COVID-19 had. De informatie werd mondeling uitgewisseld zonder dat hiervan aantekeningen werden gemaakt.
  64. Als dit tot een vermoeden van COVID leidde en de luchtvaartmaatschappij waarmee de passagier vloog geen mensen met koorts aan boord toeliet, werd de passagier de toegang tot de terminal ontzegd.
  65. Het systeem werd ingevoerd op 15 juni
  66. Het was operationeel tijdens de openingstijden van de luchthaven (tussen 04.00 en 21.00 uur). Het Rode Kruis was tot 6 november bij de procedure betrokken. Vanaf die datum werd deze taak overgenomen door de brandweerdienst van de verweerder. Er kwam een einde aan de controles op 22 maart
  67. Tussen 15 juni 2020 en 31 oktober 2020 werden ongeveer 457.000 passagiers bij vertrek gecontroleerd.
  68. Het Belgische Rode Kruis moest ook elke dag een document invullen waarop moest worden vermeld hoeveel passagiers een temperatuur boven de 38°C hadden en welke de lichaamstemperatuur van deze passagiers was. Het document bevatte niet de voor- of achternaam van deze mensen en werd elke week vernietigd.
  69. Bij de aankomsten was het systeem operationeel van 7 september 2020 tot 15 oktober
  70. Het omvatte het gebruik van 6 warmtebeeldcamera's om de temperatuur te controleren van de passagiers die uit een rode zone kwamen. Het toestel werd in de gaten gehouden door het Rode Kruis en de brandweerdiensten. Bij een temperatuur van meer dan 38°C ontving de passagier een document waarin hem werd gevraagd op andere mogelijke symptomen van COVID te letten en desgewenst contact op te nemen met een arts.
  71. Volgens de verweerder werd het systeem enkel gebruikt voor inkomende vluchten vanuit een rode zone. De verweerder verklaart niet te kunnen zeggen hoeveel betrokken personen uit een rode zone terugkeerden en een lichaamstemperatuurcontrole ondergingen.
  72. De warmtebeeldcamera's zijn uitgerust met software die een alarmsignaal geeft wanneer een temperatuur van 38°C of hoger wordt vastgesteld. Op dat moment verschijnt een beeld van de passagier met zijn masker in het event center van de computer. Op verzoek van de verweerder werden de camera's geconfigureerd voor een pre-alarm bij 37,5°C en een alarm bij 38°C.
  73. De software van de camera's slaat de recentste twintig alarmbeelden tijdelijk op in het cachegeheugen. Op het einde van elke dag worden ze gewist.
  74. De Inspectiedienst stelt vast dat het systeem van warmtebeeldcamera's dat door BSCA nv werd gebruikt, derhalve moet worden beschouwd als een geautomatiseerd procedé voor de verwerking van persoonsgegevens dat onder het materiële toepassingsgebied van de AVG valt conform artikel 2.1 van de AVG, aangezien met behulp van warmtebeeldcamera's beelden werden gemaakt van passagiers met een temperatuur boven de 38°C. Beslissing ten gronde 47/2022 - 11/73
  75. De Inspectiedienst stelt ook vast dat de verwerkingen waarover dit verslag gaat, betrekking hebben op gegevens over de gezondheid in de zin van artikel 4.15 van de AVG, aangezien zij een aspect van iemands fysieke gezondheid onthullen, namelijk koorts. De Inspectiedienst is ook van mening dat de mondelinge anamnese andere informatie van medische aard kan bevatten.
  76. De verweerder heeft deze twee vaststellingen van de Inspectiedienst niet betwist. De Geschillenkamer preciseert echter dat de litigieuze gegevensverwerking beperkt blijft tot de beelden die met de warmtebeeldcamera's werden gemaakt. De daaropvolgende stappen in de procedure (het nemen van de temperatuur zonder beeld en de anamnese) houden geen verwerking van persoonsgegevens in zoals bedoeld in de artikelen 2.1, 4.1 en 4.2 van de AVG. Het meten van de temperatuur met behulp van een manuele thermometer vormt immers geen verwerking van persoonsgegevens in de zin van artikel 4.2 van de AVG, aangezien deze meting - voor zover de Geschillenkamer weet - aan geen van de in dat artikel genoemde bewerkingen werd onderworpen. 13 II.3.2 Identificatie van de verwerkingsverantwoordelijke
  77. De Inspectiedienst stelt vast dat BSCA nv voor de in het kader van dit dossier onderzochte verwerkingen moet worden beschouwd als de verwerkingsverantwoordelijke conform artikel 4.7 van de AVG. De Inspectiedienst baseert zich voor deze conclusie op het feit dat de verweerder zichzelf als dusdanig erkent en een overeenkomst heeft gesloten met zowel het Belgische Rode Kruis als met I-CARE SPRL voor de levering van de warmtebeeldcamera's.
  78. Deze vaststelling wordt door de verweerder niet betwist. De Geschillenkamer volgt de Inspectiedienst overigens op dit punt. II.3.3 Vaststelling 1: Schending van het beginsel van de rechtmatigheid van de verwerking en de noodzaak van de maatregel conform de artikelen 5.1.a, 5.1.c, 6 en 9 van de AVG Vaststellingen van de Inspectiedienst
  79. Uit het onderzoeksverslag blijkt dat de verweerder zich beroept op de artikelen 6.1.c en 9.2.i van de AVG als grondslag voor de rechtmatigheid van de verwerking. Deze twee artikelen worden hieronder overgenomen: “Artikel 6 13 Het registreren en/of meedelen van gegevens die het resultaat zijn van de manuele temperatuurmeting en de anamnese aan een willekeurige ontvanger (zoals een luchtvaartmaatschappij) zou echter een dergelijke verwerking vormen. Beslissing ten gronde 47/2022 - 12/73 Rechtmatigheid van de verwerking
  80. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: […] c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;" “Artikel 9 Verwerking van bijzondere categorieën van persoonsgegevens
  81. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.
  82. Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan: […] i) de verwerking is noodzakelijk om redenen van algemeen belang op het gebied van de volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen, op grond van Unierecht of lidstatelijk recht waarin passende en specifieke maatregelen zijn opgenomen ter bescherming van de rechten en vrijheden van de betrokkene, met name van het beroepsgeheim."
  83. Met betrekking tot de wettelijke verplichting van artikel 6.1.c vermeldt het onderzoeksverslag dat de verweerder zich beroept op artikel 4 van het ministerieel besluit van 30 juni 2020 houdende dringende maatregelen om de verspreiding van het coronavirus COVID-19 te beperken.14 Dit ministerieel besluit volgde op verschillende soortgelijke ministeriële besluiten en werd vervolgens vervangen door een opeenvolging van andere ministeriële besluiten. Het meest recente op het moment van schrijven van het onderzoeksverslag is het ministerieel besluit van 28 oktober
  84. 15 Pas in de loop van het onderzoek van de Inspectiedienst verwees de klager naar deze rechtsgronden. 14 Ministerieel besluit van 30 juni 2020 houdende dringende maatregelen om de verspreiding van het coronavirus COVID-19 te beperken. 15 Ministerieel besluit van 28 oktober 2020 houdende dringende maatregelen om de verspreiding van het coronavirus COVID-19 te beperken. Beslissing ten gronde 47/2022 - 13/73
  85. Artikel 4 van het ministerieel besluit van 20 juni luidde als volgt: "Onverminderd artikel 5, oefenen de ondernemingen en verenigingen die goederen of diensten aanbieden aan consumenten en vanaf 1 september 2020 de organisatoren van handelsbeurzen, met inbegrip van salons, hun activiteiten uit overeenkomstig het protocol of de daartoe op de website van de bevoegde overheidsdienst bekendgemaakte minimale algemene regels. [...]"
  86. Dit artikel werd opgeheven bij ministerieel besluit van 18 oktober 2020, waarvan artikel 5 de tekst van artikel 4 van het ministerieel besluit van 30 juni 2021 overnam. Dit besluit werd vervolgens vervangen door een ministerieel besluit van 28 oktober 2020, waarvan artikel 5 als volgt luidt: "Onverminderd artikel 8, oefenen de ondernemingen en verenigingen die goederen of diensten aanbieden aan consumenten hun activiteiten uit overeenkomstig het protocol of de daartoe op de website van de bevoegde overheidsdienst bekendgemaakte minimale algemene regels."
  87. Deze ministeriële besluiten schrijven achtereenvolgens voor dat ondernemingen en verenigingen die goederen of diensten aan consumenten aanbieden, hun activiteiten moeten uitoefenen in overeenstemming met het protocol of de minimale regels die op de website van de bevoegde overheidsdienst bekendgemaakt zijn. Het protocol dat op de verweerder van toepassing is, is een protocol met de titel 'Commerciële Luchtvaart Passagiers' van de Belgische FOD Mobiliteit en Vervoer (hierna 'het Protocol').
  88. Het Protocol bevat op bladzijde 5 specifieke gezondheidsmaatregelen die van toepassing zijn op luchthavens, waaronder de volgende maatregel:
  89. De Inspectiedienst merkt tevens op dat het Protocol de volgende bepaling bevat: Beslissing ten gronde 47/2022 - 14/73
  90. De hierboven gekopieerde paragraaf over het controleren van de temperatuur van de passagiers komt uit Hoofdstuk 2 van het Protocol.
  91. De Inspectiedienst stelde vast dat het Protocol op 12 oktober 2020 werd gepubliceerd op de website van de FOD Mobiliteit en Vervoer.
  92. Uit het onderzoeksverslag blijkt dat de verweerder met betrekking tot de redenen van algemeen belang op het gebied van de volksgezondheid conform artikel 9.2.i van de AVG preciseert dat het meer in het bijzonder gaat om "de bescherming tegen ernstige grensoverschrijdende bedreigingen voor de gezondheid, in dit geval de COVID-19-epidemie." [vrije vertaling] In dit verband wijst hij erop dat overweging 46 van de AVG uitdrukkelijk de bestrijding van epidemieën vermeldt.
  93. Voorts gaf de verweerder aan (stuk 7) dat de verwerking binnen het vastgelegd wetgevend kader valt, d.w.z. het ministerieel besluit van 30 juni 2020 en het Protocol.
  94. Op grond van de artikelen 5.1.a, 6.1, 6.3 en 9.2.i van de AVG meent de Inspectiedienst dat het, om zich van de rechtmatigheid van de verwerking te vergewissen, noodzakelijk is om onderstaande elementen te beoordelen.
  95. Ten eerste meent de Inspectiedienst dat de strijd tegen de verspreiding van COVID-19 moet worden beschouwd als een zaak van algemeen belang op het gebied van de volksgezondheid conform artikel 9.2.i van de AVG.
  96. Ten tweede meent de Inspectiedienst dat de gegevens zonder passend juridisch kader werden verwerkt, wat in strijd is met de artikelen 6.1.c, 6.3 en 9.2.i van de AVG, zodat de verwerking dus onwettig was. Om tot deze conclusie te komen, baseert de Inspectiedienst zich op de volgende elementen: - het doel van de ingeroepen norm werd niet bij wet vastgelegd en het Protocol heeft bovendien een ander doel dan het ministerieel besluit; - de basismodaliteiten voor het meten van de lichaamstemperatuur werden niet gedefinieerd door de wet; - de voorzienbaarheid van het Protocol is problematisch, aangezien het niet werd gepubliceerd; - de ingeroepen rechtsnormen zijn geen wetten in de strikte zin; Beslissing ten gronde 47/2022 - 15/73 - de ingeroepen rechtsnormen voorzien niet in de nodige waarborgen die de verwerking omkaderen.
  97. Ten derde meent de Inspectie dat wordt betwist in hoeverre het medisch gezien noodzakelijk was om de lichaamstemperatuur van de passagiers te controleren. Standpunt van de verweerder
  98. In zijn conclusie herinnert de verweerder aan het wettelijk kader voor de gegevensverwerking: de opeenvolgende ministeriële besluiten en het Protocol, dat bindend is voor de verweerder.
  99. De verweerder is verder van mening dat het bestaan van een algemeen belang op het gebied van de volksgezondheid op grond van artikel 9.2.i in dit geval duidelijk aangetoond is.
  100. Hij is tevens van oordeel dat er een wettelijke bepaling bestaat waarop de verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen conform de artikelen 6.1.c, 6.3 en 9.2.i van de AVG.
  101. Hij voert de volgende vier elementen aan om dit aan te tonen: - In de eerste plaats meent de verweerder, zoals hierboven reeds werd uiteengezet (punt 32 e.v.), dat het niet aan de Inspectiedienst is om zich uit te spreken over de geldigheid van een wettelijke of uitvoerbare norm. De dienst moet alleen verifiëren of er een wettelijke verplichting bestaat waardoor de verwerking geldig is op basis van artikel 5.1.c (sic) van de AVG. - Vervolgens voert hij aan dat de temperatuurmetingen hem werden opgelegd door het Protocol, dat zelf door de ministeriële besluiten verplicht werd gesteld. De verweerder stelt voor het eerst uitdrukkelijk dat deze ministeriële besluiten gebaseerd zijn op artikel 4 van de wet van 31 december 196316 (hierna 'de wet op de civiele bescherming') en de wet van 15 mei 200717 (hierna 'de wet betreffende de civiele veiligheid'). De verweerder verklaart dat deze wetten door de Raad van State werden bekrachtigd als rechtsgrondslag voor de ministeriële besluiten. Ook stelt de verweerder, voor het eerst in zijn conclusie, dat hij zich baseert op het decreet van 23 juni 1994 (hierna 'het Waals decreet'). 18 Hij voegt eraan toe dat de ministeriële besluiten door de Raad van State werden bekrachtigd in een arrest van 30 oktober 2020.19 De 16 Wet van 31 december 1963 op de civiele bescherming. 17 Wet van 15 mei 2007 betreffende de civiele veiligheid. 18 Decreet van 23 juni 1994 betreffende de oprichting en de uitbating van de onder het Waalse Gewest ressorterende luchthavens. 19 Arrest nr. 248.818 van de Raad van State van 30 oktober 2020, beschikbaar op http://www.raadvstconsetat.be/arr.php?nr=
  102. Beslissing ten gronde 47/2022 - 16/73 verweerder meldt te hebben deelgenomen aan de workshops voor de opstelling van het Protocol, samen met de FOD Mobiliteit, de luchthavens en de belangrijkste Belgische luchtvaartmaatschappijen. - Met betrekking tot het doel, de basismodaliteiten en de vertraging bij de publicatie meent de verweerder dat hij niet verantwoordelijk kan worden gesteld voor de naleving van deze verplichtingen (die niet worden opgelegd door artikel 9.2.i van de AVG) en dat deze zaken geen afbreuk doen aan zijn verplichting om de in het Protocol opgenomen maatregelen uit te voeren. - Met betrekking tot de voorwaarde dat de verwerking noodzakelijk moet zijn, meent de verweerder - net als de Inspectiedienst - dat het niet aan de GBA is om zich uit te spreken over de medische noodzaak van warmtebeeldcamera's om de verspreiding van COVID-19 tegen te gaan. De verweerder vraagt zich ook af of het mogelijk is om deze analyse achteraf te maken en herinnert aan de onzekerheid die destijds heerste. Hij voegt eraan toe dat op dat ogenblik geen andere pragmatische oplossing beschikbaar was om aan de eisen van het opgelegde Protocol te kunnen voldoen. Hij merkt ook op dat er geen echte COVID-tests werden uitgevoerd, maar uitsluitend temperatuurcontroles. De term 'positieve/negatieve tests' is volgens hem irrelevant. Hij voegt hieraan toe dat niet minder dan 65 andere Europese luchthavens dergelijke systemen invoerden en dat ze op zijn luchthaven al maandenlang niet meer worden gebruikt (zie de punten 47 en 49). Hij voegt eraan toe geen enkel belang te hebben bij de verwerking van de gegevens en merkt op dat het risico dat eraan verbonden is, zeer beperkt is. Hij besluit dat de verwerking toentertijd noodzakelijk was en in verhouding stond tot de doeleinden van de verwerking.
  103. Tijdens de hoorzitting verklaarde de verweerder dat het besluit om de temperatuurmetingen stop te zetten werd genomen vanwege het toegenomen gebruik van PCR-tests en de invoering van de quarantaines, alsook uit financiële overwegingen. 20
  104. De verweerder verklaart dat, voor wat de vertrekkende vluchten betreft, slechts drie personen na het meten van hun temperatuur werden verzocht om de terminal niet te betreden. Indien zij dit toch hadden willen doen, zou hun identiteit aan de luchtvaartmaatschappij zijn meegedeeld. De uiteindelijke beslissing om hen al dan niet aan boord te laten gaan, zou volgens het internationaal recht bij de boordcommandant hebben gelegen.
  105. In verband met de rechtsgrondslag en het Protocol hield de verweerder tijdens de hoorzitting vol dat hij op basis van het Protocol aan een wettelijke verplichting onderworpen was, ook al meent hij dat het Protocol stuntelig opgesteld is waardoor het aanleiding kan geven tot verschillende 20 Opmerkingen bij het PV van de hoorzitting van 22 oktober 2021, pag.
  106. Beslissing ten gronde 47/2022 - 17/73 interpretaties. De verweerder voegt hieraan toe dat hij niet betrokken is geweest bij de opstelling van het Protocol en van mening is dat een wet meer op zijn plaats zou zijn geweest. 21 Hij voegt eraan toe dat de EASA-richtsnoeren overigens ook niet altijd even duidelijk zijn. 22 Hij merkt ook op te hebben verzocht om een tussenkomst van de overheid met betrekking tot de rechtmatigheid van de verwerking nadat de Inspectiedienst een onderzoek had geopend. Beoordeling door de Geschillenkamer
  107. De Geschillenkamer onderstreept dat een verwerking van persoonsgegevens slechts rechtmatig is indien zij gebeurt op basis van een rechtsgrondslag zoals bedoeld in artikel 6.1 van de AVG.
  108. Aangezien in dit geval werd vastgesteld (zie hoger) dat het screeningsysteem ook de verwerking van bijzondere categorieën van persoonsgegevens impliceerde (meer in het bijzonder van gegevens betreffende de gezondheid van de betrokkenen in de zin van artikel 4.15 van de AVG), moeten de verwerkingsverantwoordelijken ook aantonen dat voldaan is aan een van de voorwaarden die in artikel 9.2 van de AVG worden opgesomd en waardoor het verbod op de verwerking van dit soort persoonsgegevens niet van toepassing is. Zoals de Geschillenkamer reeds eerder heeft geoordeeld,23 moet de verwerking van bijzondere categorieën van persoonsgegevens in de zin van artikel 9 van de AVG immers gebaseerd zijn op artikel 9.2 van de AVG, gelezen in samenhang met artikel 6.1 van de AVG. Dit werd vastgesteld door de Europese Commissie en de EDPB. 24 Het wordt ook bevestigd door overweging 51 van de AVG waarin het volgende staat over de verwerking van bijzondere categorieën van persoonsgegevens: "Naast de specifieke voorschriften voor die verwerking dienen de algemene beginselen en andere regels van deze verordening te worden toegepast, met name wat betreft de voorwaarden voor rechtmatige verwerking."25 Toepassing van de artikelen 6.1.c en 9.2.i van de AVG op deze zaak
  109. In deze zaak verklaarde de verwerkingsverantwoordelijke tijdens de bespreking met de GBA zich te baseren op de artikelen 6.1.c en 9.2.i van de AVG. 21 Opmerkingen bij het PV van de hoorzitting van 22 oktober 2021, pag.
  110. 22 Zie ook het antwoord van de Inspectiedienst van 24 november
  111. 23 Cfr. de beslissing ten gronde 76/2021, punt 33, https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-76-2021.pdf. 24 beschikbaar op: Zie in dit verband: GEORGIEVA, L. en KUNER, C., "Article
  112. Processing of special categories of personal data” in KUNER, C., BYGRAVE, L.A. en DOCKSEY, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, pag. 37: "The Commission has stated that the processing of sensitive data must always be supported by a legal basis under Article 6 GDPR, in addition to compliance with one of the situations covered in Article 9

(2). The EDPB has also stated that ‘If a video surveillance system is used in order to process special categories of data, the data controller must identify both an exception for processing special categories of data under Article 9 (i.e. and exemption from the general rule that one should not process special categories of data) and a legal basis under Article 6." 25 Eigen vetmarkering van de Geschillenkamer. Beslissing ten gronde 47/2022 - 18/73 83. De Geschillenkamer benadrukt dat de verwerkingsverantwoordelijke zich slechts kan beroepen op de rechtmatigheidsgrondslag van artikel 6.1.c en op de uitzondering waarin artikel 9.2.i van de AVG voorziet, indien hij aantoont: (
  1. i)dat er een belangrijke reden van algemeen belang op het gebied van de volksgezondheid is (artikel 9.2.i.); (
  2. ii)dat er een wettelijke bepaling bestaat waarop de verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen conform de artikelen 6.1.c, 6.3 en 9.2.i van de AVG; (iii) dat de betrokken verwerkingen noodzakelijk zijn o om te voldoen aan de wettelijke verplichting die wordt ingeroepen conform artikel 6.1.c; en o voor de redenen van algemeen belang op het gebied van de volksgezondheid conform artikel 9.2.i. 84. Met betrekking tot het eerste constitutieve element van artikel 9.2.i van de AVG, namelijk het bestaan van een 'zwaarwegend algemeen belang op het gebied van de volksgezondheid', betwijfelt de Inspectiedienst in zijn onderzoeksverslag niet of er in dit geval sprake is van een dergelijk belang. De Geschillenkamer stelt in dit verband vast dat er wel degelijk sprake is van een 'zwaarwegend algemeen belang op het gebied van de volksgezondheid' in de zin van artikel 9.2.i van de AVG. De Geschillenkamer vindt inderdaad dat er geen twijfel over kan bestaan dat de bestrijding van de COVID-19-pandemie als dusdanig moet worden beschouwd. Zoals ook de verweerder aanvoert, staat dit uitdrukkelijk vermeld in overweging 46 van de AVG waarin wordt verwezen naar "[het monitoren] van een epidemie en de verspreiding daarvan" als een "gewichtige reden van algemeen belang". 85. Het tweede constitutieve element heeft betrekking op het bestaan van een wettelijke bepaling waarop de betrokken verwerking gebaseerd is conform de artikelen 6.1.c en 9.2.i van de AVG. 86. Conform artikel 6.3 van de AVG, gezien in het licht van considerans 41 van de AVG, moet de verwerking van persoonsgegevens die noodzakelijk is voor de naleving van een wettelijke verplichting26 en/of voor de vervulling van een taak van algemeen belang of een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, 27 berusten op een duidelijke en nauwkeurige regelgeving waarvan de toepassing voorzienbaar is voor degenen op wie ze van toepassing is. 87. Artikel 6.3 van de AVG bepaalt in dit verband meer in het bijzonder: "De rechtsgrond voor de in lid 1, punten
  3. c)en e), bedoelde verwerking moet worden vastgesteld bij:
  4. a)het Unierecht; of
  5. b)het 26 Artikel 6.1.c van de AVG. 27 Artikel 6.1.e van de AVG. Beslissing ten gronde 47/2022 - 19/73 lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is. Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend." 88. Overweging 41 van de AVG preciseert in dit verband: "Wanneer in deze verordening naar een rechtsgrond of een wetgevingsmaatregel wordt verwezen, vereist dit niet noodzakelijkerwijs dat een door een parlement vastgestelde wetgevingshandeling nodig is, onverminderd de vereisten overeenkomstig de grondwettelijke orde van de lidstaat in kwestie. Deze rechtsgrond of wetgevingsmaatregel moet evenwel duidelijk en nauwkeurig zijn, en de toepassing daarvan moet voorzienbaar zijn voor degenen op wie deze van toepassing is, zoals vereist door de rechtspraak van het Hof van Justitie van de Europese Unie ('Hof van Justitie') en het Europees Hof voor de Rechten van de Mens." 89. Met betrekking tot de door de verweerders aangevoerde rechtsgrond moet worden vastgesteld dat de litigieuze verwerking als dusdanig niet onderworpen is aan het decreet betreffende de oprichting en de uitbating van luchthavens en vliegvelden, noch aan het ministerieel besluit of de wet betreffende de civiele veiligheid (zie punten 59 e.v. en 76 e.v. hierboven). Deze verwerking is voorzien in het Protocol Commerciële Luchtvaart, dat door de Federale Overheidsdienst Mobiliteit en Vervoer (DG Luchtvaart) werd goedgekeurd na onderhandelingen met de betrokken sector. Dit blijkt uit de formulering van artikel 1, 3° van het ministerieel besluit: "protocol: het document bepaald door de bevoegde minister in overleg met de betrokken sector (...)". Dit blijkt ook uit de documenten in het dossier en uit het e-mailbericht dat het kabinet van de bevoegde minister op 11 juni 2020 naar de luchthavenexploitanten, de luchtvaartmaatschappijen en de regionale autoriteiten stuurde. De Geschillenkamer betoogt dat in het kader van artikel 6.3 en overweging 41 van de AVG samenwerking en overleg met de sector op zich geen probleem vormen, op voorwaarde dat de verplichting uitdrukkelijk wordt opgelegd door een wet in de ruime zin. Dit is hier niet het geval (zie verder). 90. De Geschillenkamer verwijst in dit verband met name naar het arrest Privacy International van het Hof van Justitie van 6 oktober 2020, waarin het Hof stelt dat de betrokken regeling duidelijke en nauwkeurige regels moet bevatten “over de reikwijdte en de toepassing van de betrokken maatregel [en minimumvereisten moet opleggen], zodat degenen van wie de persoonsgegevens aan de orde zijn, over voldoende waarborgen beschikken dat die gegevens doeltreffend worden beschermd tegen het risico van misbruik.” En het Hof voegt eraan toe: "Die regeling moet wettelijk verbindend zijn naar intern recht en in het bijzonder aangeven in welke omstandigheden en onder welke voorwaarden een maatregel die voorziet in de verwerking van dergelijke gegevens kan worden genomen, en aldus waarborgen dat de inmenging tot het strikt noodzakelijke wordt beperkt. (...) Deze overwegingen gelden in het bijzonder wanneer het gaat om de bescherming van een bijzondere categorie persoonsgegevens, te weten gevoelige gegevens." Beslissing ten gronde 47/2022 - 20/73 91. In verband met de genoemde normen verklaart verweerder in zijn conclusie van antwoord dat de Raad van State met zijn arrest van 30 oktober 2020 “de wettelijke basis van artikel 4 van de Wet van 31 december 1963 en de artikelen 181, 182 en 187 van de Wet van 15 mei 2007 [heeft] goedgekeurd.” Er dient evenwel op te worden gewezen dat voormeld arrest geen betrekking heeft op het gebruik van deze wetgeving als wettelijke basis voor de verwerking van (bijzondere categorieën van) persoonsgegevens en geenszins een toetsing van voormelde normen aan de AVG betreft. Het arrest heeft betrekking op de sluiting waartoe restaurants en drankgelegenheden in het kader van COVID19 werden verplicht en is bijgevolg niet relevant voor deze zaak. Belangrijker nog is dat de arresten van de Raad van State betrekking hebben op de wettelijkheid van de maatregelen die bij ministerieel besluit werden opgelegd. Er moet echter op worden gewezen dat ministeriële besluiten in het Belgisch recht een duidelijk normatief karakter hebben. Dat is evenwel niet het geval voor het betreffende Protocol. 92. Dit werd overigens bevestigd door de Raad van State in zijn advies nr. 69.253/AG van 23 april 2021, uitgebracht door de Algemene Vergadering van de afdeling Wetgeving, waarin deze het volgende standpunt inneemt: 93. "Van tweeën immers één: ofwel hebben de protocollen geen verordend karakter maar dan zijn de concretiseringen die ze inhouden niet bindend, kunnen de protocollen niet afwijken van het ministerieel besluit, en kan de naleving ervan niet worden gecontroleerd en gehandhaafd door het instellen van een strafvordering bij niet-naleving ervan; ofwel zijn de protocollen wel verordenend en zijn de maatregelen die ze inhouden wel bindend, doch dan dienen deze maatregelen te worden opgenomen in besluiten van de daartoe bevoegde overheid.”28 94. Met dit standpunt antwoordt de Raad van State op de vraag van de afgevaardigde van de minister aangaande de juridische waarde van het protocol: 95. "De protocollen en gidsen vormen een indicatief beoordelingskader. De protocollen en gidsen kunnen enkel verordenende maatregelen, zoals bepaald in het MB, concretiseren, maar zijn zelf niet verordenend."29 96. De Geschillenkamer merkt overigens op dat de Franse Raad van State het volgende verklaarde over de verwerking van bijzondere categorieën van persoonsgegevens met behulp van warmtebeeldcamera's zonder geldige rechtsgrond: "Er kan worden aangenomen dat is voldaan aan de wettelijke voorwaarden voor de verwerking van persoonsgegevens betreffende de gezondheid zoals bedoeld in artikel 9.2.g van de AVG, aangezien er geen tekst bestaat die het gebruik van de door 28 De Raad van State herhaalde deze paragraaf in zijn advies 69.305 van 6 mei 2021. Advies nr. 69.253/AG van 23 april 2021 is het eerste advies dat de Raad van State over de opeenvolgende ministeriële besluiten uitbracht (zie punt 62 e.v.). Vanwege de hoogdringendheid was niet vooraf het advies ingewonnen van de afdeling Wetgeving van de Raad van State. Dit is dus het eerste advies van de Raad van State over de kwestie van de protocollen waarin deze opeenvolgende ministeriële besluiten voorzien. 29 Afdeling Wetgeving van de Raad van State, nr. 69.253/AG van 23 april 2021, pag. 42. Beslissing ten gronde 47/2022 - 21/73 de gemeente ingezette warmtebeeldcamera's regelt en preciseert dat het algemeen belang zulks noodzakelijk maakt."30 [vrije vertaling] 97. Tijdens de hoorzitting verklaarde de verweerder tevens dat hij de rechtsgrondslag onduidelijk achtte en dat een wet meer op zijn plaats zou zijn geweest.31 98. De Geschillenkamer stelt bijgevolg vast dat het Protocol geen geldige wettelijke basis biedt voor de verwerking in de zin van artikel 6.1 van de AVG. 99. Wat voorts het niet-bindende karakter van het ingeroepen Protocol betreft, merkt de Geschillenkamer op basis van de stukken het volgende op: - Het Protocol zegt: "Het opmeten van de lichaamstemperatuur van de passagiers zodat ze met een "immuniteitspaspoort" kunnen reizen, wordt niet aanbevolen door de EASA en het ECDC. De EASA herinnert eraan dat de relevantie van die meting niet onderbouwd wordt door de huidige wetenschappelijke kennis van SRAS-CoV-2. De EASA en het ECDC volgen niettemin de wetenschappelijke evoluties en zullen desgevallend hun aanbevelingen bijwerken indien een geschikte test beschikbaar wordt. Op vraag van luchtvaartmaatschappijen die er vluchten uitvoeren, heeft de luchthaven van Charleroi (Brussels South Charleroi Airport) evenwel beslist om de testen voor het opmeten van de lichaamstemperatuur in te voeren voor de personen die het luchthavengebouw betreden. De luchthaven garandeert dat de methode waarvoor gekozen wordt geen vertraging, noch een concentratie van personen aan de ingang van haar infrastructuur zal veroorzaken."32 - De luchthaven heeft tweemaal het initiatief genomen om de verwerking stop te zetten. Dit blijkt uit haar antwoord op de vraag van 6 januari 2021 waarin zij verklaarde dat het meten van de temperatuur bij aankomst op initiatief van de luchthaven op 15 oktober 2020 is stopgezet. In verband met de aankomsten verklaarde de verweerder in zijn brief van 18 oktober 2021 het volgende: "De verweerder heeft het systeem van de temperatuurmetingen voor de vertrekkende vluchten op 22 maart 2021 onderbroken vanwege de aanvullende maatregelen die door de verschillende nationale regeringen werden getroffen om de verspreiding van het coronavirus tegen te gaan." [vrije vertaling] Dit werd herhaald tijdens de hoorzitting aangezien de verweerder duidelijk aangaf dat, toen de verwerking in maart 2021 werd stopgezet, "de stopzetting een beslissing van BSCA was."33 30 Franse Raad van State, ordonnantie van 26 juni 2020, nr. 441065. Beschikbaar op: https://www.conseil-etat.fr/decisions-dejustice/dernieres-decisions/conseil-d-etat-26-juin-2020-cameras-thermiques-a-lisses 31 Zie punt 79 hierboven. 32 Eigen vetmarkering van de Geschillenkamer. 33 Opmerkingen bij het PV van de hoorzitting van 22 oktober 2021, pag. 1. Beslissing ten gronde 47/2022 - 22/73 100. Voor de Geschillenkamer tonen deze elementen aan - nog afgezien van de vraag of er een wettelijke basis bestaat - dat het Protocol specifiek voor de temperatuurmeting geen bindend karakter heeft. 101. Verder is de Geschillenkamer van oordeel dat het Protocol om de hierna genoemde redenen niet voldoet aan de vereisten van artikel 6.3. van de AVG en de Europese rechtspraak. Het doel (de doeleinden) van de litigieuze verwerking(
  6. en)wordt (worden) in de ingeroepen normen niet op voldoende duidelijke en coherente wijze vermeld 102. Zoals hierboven vermeld, dient op grond van artikel 6.3 van de AVG de wettelijke basis van de in lid 1, punten
  7. c)en
  8. e)bedoelde verwerking te worden vastgesteld door het Unierecht of het lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is. Overweging 45 preciseert dat: "Het moet ook het Unierecht of het lidstatelijke recht zijn die het doel van de verwerking bepaalt. Voorts zou dat recht een nadere omschrijving kunnen geven van de algemene voorwaarden van deze verordening waaraan de persoonsgegevensverwerking moet voldoen om rechtmatig te zijn, en specificaties kunnen vaststellen voor het bepalen van de verwerkingsverantwoordelijke, het type verwerkte persoonsgegevens, de betrokkenen, de entiteiten waaraan de persoonsgegevens mogen worden vrijgegeven, de doelbinding, de opslagperiode en andere maatregelen om te zorgen voor rechtmatige en behoorlijke verwerking. Ook dient in het Unierecht of het lidstatelijke recht te worden vastgesteld of de verwerkingsverantwoordelijke die is belast met een taak van algemeen belang dan wel met een taak in het kader van de uitoefening van het openbaar gezag, een overheidsinstantie of een andere publiekrechtelijke persoon is (...)."34 103. De Geschillenkamer stelt evenwel vast dat de door de verweerder ingeroepen normen niet op eenduidige en heldere wijze de precieze doelstelling van de verwerking bevatten. Evenmin bevatten zij de basismodaliteiten van de verwerking, zoals opgesomd in de vorige paragraaf. 104. Met betrekking tot het ministerieel besluit van 5 juni 2020, het decreet betreffende de oprichting en uitbating van luchthavens en vliegvelden, en de wet betreffende de civiele veiligheid dient te worden vastgesteld dat geen van deze drie normen melding maakt van de litigieuze verwerking. Uit de bewoordingen van het ministerieel besluit blijkt dat de doelstelling van de erin opgenomen maatregelen erin bestaat “de verspreiding van het coronavirus COVID-19 te beperken.” 105. Ook het Protocol Commerciële Luchtvaart – dat wel naar de litigieuze verwerking verwijst – bevat geen duidelijke omschrijving van de doeleinden van voormelde verwerking. Er kan hooguit uit de titel van het document worden afgeleid dat de doelstelling van de maatregelen die het bevat “de heropstart van de activiteiten met betrekking tot de commerciële luchtvaart passagiers” is. De verwerkingsmodaliteiten werden niet gedefinieerd in het Protocol 34 Eigen vetmarkering van de Geschillenkamer. Beslissing ten gronde 47/2022 - 23/73 106. Zoals hierboven wordt uiteengezet, dient overeenkomstig artikel 6.3 van de AVG, gelezen in samenhang met artikel 22 van de Grondwet en de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie, een wetgevende norm de essentiële kenmerken vast te leggen van een gegevensverwerking die noodzakelijk is voor de uitvoering van een taak van algemeen belang of de uitoefening van het openbaar gezag waarmee de verwerkingsverantwoordelijke belast is. In voormelde bepalingen wordt in dit verband benadrukt dat de betreffende verwerking dient te worden omkaderd door een voldoende duidelijke en nauwkeurige norm waarvan de toepassing voor de betrokken personen voorzienbaar is. 107. Het Protocol Commerciële Luchtvaart legt de essentiële elementen van de litigieuze verwerking echter geenszins vast. Het laat een ruime appreciatiemarge aan de verwerkingsverantwoordelijken met betrekking tot de manier waarop de meting van de lichaamstemperatuur dient te worden uitgevoerd. Het Protocol laat de luchthavenbeheerders bijgevolg de vrijheid om deze screening al dan niet met verwerking van persoonsgegevens uit te voeren en zelfs om de overige modaliteiten vast te stellen, zoals het aantal temperatuurmetingen, de gebruikte technologie, het type en de hoeveelheid verwerkte gegevens en de bewaringstermijn van de gegevens. De voorzienbaarheid (of onvoorzienbaarheid) van het Protocol Commerciële Luchtvaart 108. De Europese rechtspraak legt de vereiste van voorzienbaarheid van de wetgeving op. De ingeroepen normen dienen verder door hun publicatie voor de betrokkenen voldoende toegankelijk te worden gemaakt, met name voor wat betreft de aard en de rechtsgevolgen voor de betrokkene. 109. In dit verband dient te worden vastgesteld dat het Protocol niet bepaalt welke de gevolgen zijn voor een betrokkene die weigert zich aan de temperatuurcontrole te onderwerpen. Dit element blijkt alleen uit de gezamenlijke operationele richtsnoeren van de EASA en het ECDC. Het doel van de identificatie en het principe van de controle met behulp van beeldopnames blijken evenmin uit het Protocol. Bovendien werd het Protocol niet tijdig en correct gepubliceerd. Het werd namelijk op de website van de Federale Overheidsdienst Mobiliteit en Vervoer geplaatst nadat het van toepassing werd. 110. Doordat deze modaliteiten niet in de ingeroepen norm of het ingeroepen instrument vastgelegd zijn, ontstaan belangrijke afgeleide risico’s voor de rechten en vrijheden van de betrokkenen (bv. finaliteitsvervaging en bemoeilijking van de uitoefening van de rechten van de betrokkenen). Conform de hierboven aangehaalde rechtspraak van het Hof van Justitie (arrest Privacy International) voldoet zulks niet aan de voorwaarde om door middel van een wet (zelfs in de ruime zin) te voorzien in passende en specifieke maatregelen ter bescherming van de grondrechten en de fundamentele vrijheden van de betrokkenen. Beslissing ten gronde 47/2022 - 24/73 111. De Geschillenkamer neemt akte van de spoed waarmee de maatregelen werden genomen in het kader van de strijd tegen de COVID-19-pandemie. Zij beklemtoont echter dat dit niets afdoet aan het feit dat de voorschriften van bovengenoemde bepalingen moeten worden nageleefd. Zij vormen een essentiële bescherming voor de rechten en vrijheden in het kader van de regelgeving inzake de bescherming van persoonsgegevens. 112. Als verwerkingsverantwoordelijke is de verweerder op grond van het principe van de verantwoordingsplicht van de artikelen 5.2 en 24 van de AVG ('accountability') verantwoordelijk voor de naleving van de beginselen inzake de bescherming van persoonsgegevens (waaronder rechtmatigheid en noodzakelijkheid) en moet hij kunnen aantonen dat hij zijn wettelijke verplichtingen nakomt. De Geschillenkamer herinnert er nogmaals aan dat de verweerder het gebrek aan duidelijkheid van het Protocol heeft erkend. 35 113. De Geschillenkamer beklemtoont dat de verweerder zich dus vanaf het begin van de litigieuze verwerking had moeten vergewissen van het bestaan van een geldige rechtmatigheids- en uitzonderingsgrond in de zin van de artikelen 6.1 en 9.2 van de AVG. Uit de analyse van de stukken van het dossier blijkt dat deze rechtmatigheidsgrond bij het begin van de verwerking niet uitdrukkelijk werd vastgesteld. Dit blijkt ook uit het ontbreken van een concrete verwijzing naar de betreffende rechtsgrond in de privacyverklaring van de verweerder (cfr. infra). Pas tijdens het onderzoek van de Inspectiedienst werd voor het eerst melding gemaakt van deze rechtsgrond, die daarna vanaf 2 december op onvolledige wijze in het privacybeleid werd opgenomen. 114. Voorts moet worden beklemtoond dat de wettelijke normen waarop de verwerkingsverantwoordelijken zich beroepen, geen enkele verplichting inhouden en geen enkel rechtskader scheppen voor de uitvoering van een temperatuurcontrole waarbij persoonsgegevens worden geregistreerd. 115. De Geschillenkamer besluit derhalve dat het tweede constitutieve element niet werd aangetoond. 116. Met betrekking tot het derde constitutieve element, namelijk dat de betrokken verwerkingen noodzakelijk moeten zijn om de ingeroepen wettelijke verplichting na te komen conform artikel 6.1.c alsook om redenen van algemeen belang op het gebied van de volksgezondheid conform artikel 9.2.i. 117. De Geschillenkamer is allereerst van mening dat de verwijzing naar andere soortgelijke verwerkingen in 65 andere Europese luchthavens niet relevant is als bewijs dat in deze zaak aan de noodzakelijkheidsvereiste is voldaan. In dit verband wordt erop gewezen dat de opsomming in de conclusie van de eerste verweerder ook impliceert dat een (aanzienlijk) aantal luchthavens (waaronder ook Belgische luchthavens) helemaal geen gebruik heeft gemaakt van het temperatuurmetingsysteem. De Geschillenkamer stelt bovendien vast dat het Protocol aangeeft dat de verwerking op slechts twee luchthavens in België zou worden geïmplementeerd (de luchthavens 35 Zie punt 76 hierboven. Beslissing ten gronde 47/2022 - 25/73 van Charleroi en Zaventem), zonder de overige luchthavens op het Belgisch grondgebied te vermelden. 118. Met betrekking tot de naleving van het noodzakelijkheidsbeginsel in het kader van de litigieuze verwerking beklemtoont de Geschillenkamer, net als de verweerder, dat zij zich niet kan uitspreken over de medische noodzaak van deze maatregel in het kader van de bestrijding van COVID-19 als dusdanig, en evenmin over de wetenschappelijke accuraatheid en correctheid van de geciteerde standpunten en verslagen. Deze analyse is evenwel niet nodig om zich over de noodzaak van de verwerking vanuit juridisch oogpunt te kunnen buigen. 119. De Geschillenkamer merkt evenwel op dat het Protocol Commerciële Luchtvaart van de minister van Mobiliteit - zowel in de versie van 11 juni 2020 als in die van 31 juli 2020 - op pagina 5 het volgende vermeldt: "Het opmeten van de lichaamstemperatuur van de passagiers zodat ze met een 'immuniteitspaspoort' kunnen reizen, wordt niet aanbevolen door de EASA en het ECDC. De EASA herinnert eraan dat de relevantie van die meting niet onderbouwd wordt door de huidige wetenschappelijke kennis van SARS-CoV-2. (…)."36 120. De Geschillenkamer stelt derhalve vast dat de door de verweerder zelf aangevoerde rechtsgrondslag vermeldt dat de noodzaak van de betrokken verwerking niet is aangetoond. Zij concludeert derhalve dat de noodzaak van de verwerking, zoals vereist door de artikelen 6.1.c, 6.3 en 9.2.i van de AVG niet werd aangetoond. 121. De Geschillenkamer merkt in dit verband op dat het Protocol Commerciële Luchtvaart en de andere door de verweerder ingeroepen normen geen geldige grondslag voor verwerking vormen en concludeert dat er een inbreuk werd gepleegd op de artikelen 6.1.c, 6.3 en 9.2.i van de AVG. II.3.4 Vaststelling 337: Schending van het transparantiebeginsel en de informatieplicht conform de artikelen 5.1.a, 12 en 13 van de AVG 122. De Inspectiedienst stelt vast dat de bij de verwerking betrokken personen in twee categorieën kunnen worden onderverdeeld: passagiers en eventuele begeleiders (bij vertrek) en personen die uit een rode zone terugkeren (bij aankomst). 123. De modaliteiten voor het verstrekken van informatie kunnen ook verschillen, aangezien een deel van de communicatiemodaliteiten voor alle betrokkenen geldt, terwijl bepaalde bijkomende informatie 36 Protocol Commerciële Luchtvaart, pag. 5. Eigen vetmarkering van de Geschillenkamer. 37 Met het oog op de leesbaarheid en voor een goed begrip van de beslissing wordt vaststelling 3 vóór vaststelling 2 besproken. Beslissing ten gronde 47/2022 - 26/73 alleen aan de vertrekkende passagiers en hun eventuele begeleiders wordt meegedeeld. Deze informatie wordt verstrekt met behulp van de volgende vier communicatiemiddelen: - een informatiebanner op de website van de verweerder; - een pagina met FAQ op de website van de verweerder; - het interne reglement dat op de website gepubliceerd is en wordt uitgehangen vóór de controles van de lichaamstemperatuur van de passagiers; - de privacyverklaring op de website van de verweerder. 124. Voor wat de vertrekkende vluchten betreft, verklaarde de verweerder ook dat een affiche was opgehangen met een informatieve illustratie van een temperatuur van meer dan 38°C en de woorden 'no access to the terminal'. De affiche toont ook een gezicht in profiel waarbij de temperatuur wordt gemeten met een voorhoofdthermometer. 125. De Inspectiedienst stelt tekortkomingen vast met betrekking tot de artikelen 5.1.a, 12 en 13 van de AVG voor wat betreft de informatie die bij het vertrek aan de betrokkenen wordt verstrekt. Er kan een onderscheid worden gemaakt tussen de inbreuken naargelang zij zich hebben voorgedaan tussen 15 juni 2020 en 2 december 2020 (datum waarop het nieuwe privacybeleid online werd gezet) of dateren van na deze laatste datum. 126. Over het algemeen was de verweerder het er tijdens de hoorzitting mee eens dat sommige punten voor verbetering vatbaar waren, met name op het vlak van de bewaringstermijn en de verwijzing naar de GBA. Volgens de verweerder voegt de Inspectiedienst een criterium toe aan de AVG door te eisen dat de precieze rechtsgrondslag wordt vermeld, maar hij begrijpt dat dit de kwaliteit van de informatie kan verbeteren. Het privacybeleid werd in november 2020 op diverse punten gewijzigd (met publicatie op 2 december 2020), maar het bevat nog geen verwijzing naar artikel 9 van de AVG. 127. Het feit dat geen enkele vraag om verduidelijking of om de uitoefening van rechten werd ontvangen, hoewel de contactgegevens van de functionaris voor gegevensbescherming op verschillende plaatsen beschikbaar waren, bewijst voor de verweerder dat de transparantie werd gewaarborgd. 128. Aangezien de informatie die aan de betrokkenen werd verstrekt varieerde naargelang van het moment en de omstandigheden, heeft de Inspectiedienst ervoor gekozen de naleving van deze principes in drie verschillende situaties te onderzoeken. Deze worden hieronder opgesomd.
  9. a)Inbreuken die plaatsvonden tussen 15 juni en 2 december 2020 bij het vertrek Vaststellingen van de Inspectiedienst Beslissing ten gronde 47/2022 - 27/73 129. Met betrekking tot de inbreuken die tussen 15 juni en 2 december 2020 bij het vertrek plaatsvonden, is de Inspectiedienst van mening dat deze verband houden met de volgende elementen:38 - Geen van de communicatiemiddelen vermeldt dat de temperatuur met behulp van warmtebeeldcamera's wordt gemeten (inbreuk op artikel 5.1.a); - De rechtsgrond voor de verwerking wordt nooit meegedeeld (inbreuk op artikel 13.1.c), evenmin als het regelgevende kader voor de verplichting om de lichaamstemperatuur te controleren (inbreuk op artikel 13.2.e); - Er is geen vastlegde bewaringstermijn of de criteria om deze te bepalen worden niet vermeld (inbreuk op artikel 13.2.a); - Het recht om een klacht in te dienen bij de GBA wordt evenmin vermeld (13.2.d); - Het doel van de verwerking wordt niet vermeld (artikel 13.1.c). Standpunt van de verweerder 130. De verweerder is van mening dat de Inspectiedienst bij de controle van de naleving van zijn wettelijke verplichtingen geen rekening heeft gehouden met bepaalde gepubliceerde documenten. 131. Hij meent namelijk dat het niet nodig was om informatie te verschaffen over het meten van de lichaamstemperatuur met warmtebeeldcamera's, aangezien deze informatie al beschikbaar was via de nationale pers en een persbericht van de luchthaven van 10 juni 2020, en de betrokkenen dus al over deze informatie beschikten (artikel 13.4 AVG). 132. Op grond van dezelfde uitzondering meent de verweerder verder dat de betrokkenen reeds op de hoogte moesten zijn van het bestaan van de wettelijke verplichting inzake de verwerking, aangezien deze verplichting voortvloeit uit het Protocol dat op zijn beurt werd opgelegd door ministeriële besluiten die in het Belgisch Staatsblad bekendgemaakt zijn.39 De Verweerder meent dat hij niet verantwoordelijk kan worden gesteld voor de vertraging bij de bekendmaking van het Protocol. 133. In verband met de bewaringstermijn erkent de verweerder dat hij deze nauwkeurig had moeten aangeven. Hij erkent ook dat het bestaan van het recht om een klacht in te dienen bij de GBA niet wordt vermeld in het privacybeleid. 134. Hij voert dezelfde argumenten aan als deze in verband met vaststelling 2 die specifiek over het doel gaat (zie punt 187 e.v.) 38 Aangezien de privacyverklaring de temperatuurcontrole bij de betrokkenen niet uitdrukkelijk vermeldt, werd zij door de Inspectiedienst niet onderzocht. De vastgestelde inbreuken hebben derhalve betrekking op de drie andere communicatiemiddelen. 39 Concluant benadrukt opnieuw dat hij niet verantwoordelijk kan worden gesteld voor de vertraging bij de bekendmaking van het Protocol. Beslissing ten gronde 47/2022 - 28/73 Beoordeling door de Geschillenkamer 135. Het transparantiebeginsel is vastgelegd in artikel 5.1.a van de AVG dat zegt dat persoonsgegevens moeten worden verwerkt "op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is ('rechtmatigheid, behoorlijkheid en transparantie')"; 136. Dit principe wordt onder meer toegepast in artikel 12.1 van de AVG. Dat zegt dat de verwerkingsverantwoordelijke "passende maatregelen [neemt] opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt (...)." 137. Overwegingen 58 en 60 van de AVG preciseren: "Overeenkomstig de beginselen van behoorlijke en transparante verwerking moet de betrokkene op de hoogte worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan" en "Overeenkomstig het transparantiebeginsel moet informatie die bestemd is voor het publiek of voor de betrokkene beknopt, eenvoudig toegankelijk en begrijpelijk zijn en moet duidelijke en eenvoudige taal [...] worden gebruikt." 138. Zoals benadrukt door advocaat-generaal P. Cruz Villalón alsook door het Hof van Justitie van de Europese Unie in de zaak Bara, is de naleving van de bepalingen met betrekking tot transparantie en informatieverstrekking van essentieel belang, aangezien dit een voorwaarde is voor de uitoefening door de betrokkenen van hun rechten, dewelke één van de fundamenten van de AVG vormen. 40 139. Artikel 13 van de AVG geeft aan welke informatie aan de betrokkene moet worden verstrekt in de gevallen waarin de betreffende persoonsgegevens bij hemzelf worden verzameld. 140. In zijn richtlijnen met betrekking tot transparantie verduidelijkte de Groep Gegevensbescherming Artikel 29 dat artikel 13 van de AVG zowel van toepassing is in de gevallen waarin de persoonsgegevens bewust verwerkingsverantwoordelijke door als de in betrokkene de gevallen worden waarin overgemaakt de gegevens aan de door de verwerkingsverantwoordelijke worden verzameld door observatie (bijvoorbeeld door middel van het gebruik van geautomatiseerde gegevensvergaringsapparatuur of software voor gegevensvergaring zoals camera’s).41 141. In verband met het eerste element, d.w.z. de verwerking op basis van warmtebeeldcamera's, merkt de Geschillenkamer op dat de verweerder zich beroept op de toepassing van artikel 13.4 van 40 HvJ-EU, 1 oktober 2015, C-201/14, par. 33 (Conclusie advocaat-generaal P. Cruz Villalón, 9 juli 2015, par. 74). 41 Groep Gegevensbescherming Artikel 29, Guidelines on transparency under Regulation 2016/679, 11 april 2018, pag. 14-15, par. 26. Beslissing ten gronde 47/2022 - 29/73 de AVG en aangeeft dat hij niet verplicht was om de betrokkenen te informeren, aangezien zij reeds over de informatie beschikten via de media en een persbericht van de luchthaven. 142. Artikel 13.4 van de AVG vermeldt duidelijk dat de paragrafen 1, 2 en 3 niet van toepassing zijn wanneer en voor zover de betrokkene reeds over de informatie beschikt. Artikel 13.4 voorziet derhalve niet in een uitzondering op het transparantiebeginsel zoals dat wordt geformuleerd in artikel 5.1.a van de AVG. Het is echter op basis van dit artikel dat de Inspectiedienst een tekortkoming heeft vastgesteld ten aanzien van de verplichting om de betrokkenen te informeren omtrent het bestaan van de warmtebeeldcamera's. Naar het oordeel van de Geschillenkamer moet inderdaad een onderscheid worden gemaakt tussen enerzijds het behoorlijkheids- en transparantiebeginsel (artikel 5.1.
  10. a)en anderzijds de verplichtingen die uit dit beginsel voortvloeien (met name de artikelen 13 en 14). 143. Het in artikel 5.1.a vastgelegde behoorlijkheids- en transparantiebeginsel gaat verder dan de eenvoudige informatie- en transparantieverplichtingen die in de artikelen van de AVG worden opgesomd, en vormt een algemeen beginsel waarvan de reikwijdte en de filosofie bij elke verwerking moeten worden nageleefd. 144. Dit standpunt werd door de EDPS formeel overgenomen in zijn Beslissing 01/021 inzake WhatsApp, waarin de toezichthouder stelde: "Het Comité onderstreept op grond van de bovenstaande overwegingen dat het transparantiebeginsel zich niet beperkt tot de verplichtingen uit hoofde van de artikelen 12 tot en met 14 AVG, ook al vormen deze een concretisering van dat beginsel. Het transparantiebeginsel is namelijk een overkoepelend beginsel dat niet alleen andere beginselen versterkt (d.w.z. billijkheid, verantwoordingsplicht), maar waaruit ook tal van andere bepalingen van de AVG voortvloeien. Bovendien bevat artikel 83, lid 5, AVG, zoals reeds opgemerkt, de mogelijkheid om een inbreuk op de transparantieverplichtingen onafhankelijk van de inbreuk op het transparantiebeginsel vast te stellen. In de AVG wordt dus een onderscheid gemaakt tussen de bredere dimensie van het beginsel en de meer specifieke verplichtingen. Met andere woorden, met de transparantieverplichtingen wordt niet de volledige werkingssfeer van het transparantiebeginsel afgebakend."42 145. De Inspectiedienst baseert zich dus terecht op het transparantiebeginsel van artikel 5.1.a om te oordelen dat de betrokkenen op de hoogte hadden moeten worden gebracht van het bestaan van de warmtebeeldcamera's, hoewel deze verplichting niet uitdrukkelijk opgenomen is in de transparantieverplichtingen van artikel 13 van de AVG. 42 EDPB, Bindend besluit 1/2021 over het geschil dat is ontstaan over het ontwerpbesluit van de Ierse toezichthoudende autoriteit betreffende WhatsApp Ireland op grond van artikel 65, lid 1, onder
  11. a)van de AVG, 28 juli 2021, §192. Beslissing ten gronde 47/2022 - 30/73 146. Overweging 60 van de AVG zegt echter: "Overeenkomstig de beginselen van behoorlijke en transparante verwerking moet de betrokkene op de hoogte worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan. De verwerkingsverantwoordelijke dient de betrokkene de nadere informatie te verstrekken die noodzakelijk is om tegenover de betrokkene een behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke omstandigheden en de context waarin de persoonsgegevens worden verwerkt." 147. Het feit dat de temperatuur wordt gemeten met behulp van warmtebeeldcamera's is zo belangrijk dat de betrokkenen moeten worden geïnformeerd over de verwerking van hun gegevens. Het in artikel 5.1.a vastgelegde behoorlijkheids- en transparantiebeginsel vereist namelijk per definitie dat de betrokkenen weten wanneer hun gegevens al dan niet worden verwerkt. 148. De Geschillenkamer stelt vast dat tijdens de onderzochte periode in twee verschillende documenten die de verweerder verstrekte, melding werd gemaakt van de temperatuurcontroles: het intern reglement (hierna IR) en de FAQ-pagina die via de banner op de website toegankelijk was. Geen van deze twee informatiebronnen vermeldt dat de verwerking zou of zou kunnen worden uitgevoerd met behulp van warmtebeeldcamera's. 149. Zoals de verweerder benadrukt, is het feit dat op de luchthaven warmtebeeldcamera's worden gebruikt, informatie die in verschillende persartikels aan bod kwam. Naar het oordeel van de Geschillenkamer kan de verweerder niet volstaan met zich te beroepen op het bestaan van informatie in de pers om zich te onttrekken aan zijn transparantieverplichtingen op grond van de AVG en ten aanzien van de betrokken personen. Er mag immers niet van worden uitgegaan dat elke passagier op doorreis in de luchthaven een persartikel heeft gelezen dat hem volledig inlicht over het bestaan en de voorwaarden van de verwerking. Verder kunnen de verwerkingsverantwoordelijken hun verantwoordelijkheid inzake transparantie niet overdragen aan de pers en moeten zij deze persoonlijk en rechtstreeks opnemen. 150. Het gebruik van warmtebeeldcamera's werd door de verweerder ook bekendgemaakt in een persbericht dat op 10 juni 2020 op zijn website verscheen. Dit is op zich weliswaar een lovenswaardig initiatief maar voor de Geschillenkamer is het ontoereikend. Het transparantiebeginsel vereist immers dat de informatie op een gecentraliseerde en geconsolideerde manier toegankelijk is, bijvoorbeeld via het IR of het privacybeleid die makkelijk kunnen worden geraadpleegd. 43 Een persbericht, dat na enige tijd in de digitale archieven van een verwerkingsverantwoordelijke moet worden opgezocht, kan niet worden omschreven als 'makkelijk toegankelijk'. 43 Overweging 58: "[...] Overeenkomstig het transparantiebeginsel moet informatie die bestemd is voor het publiek of voor de betrokkene beknopt, eenvoudig toegankelijk en begrijpelijk zijn en moet duidelijke en eenvoudige taal en, in voorkomend geval, aanvullend visualisatie worden gebruikt. [...]" Beslissing ten gronde 47/2022 - 31/73 151. Daarnaast stelt de Geschillenkamer vast dat de door de verweerder uitgehangen affiche (zie punt 124) vermeldt dat de temperatuur met een manuele voorhoofdthermometer wordt gemeten, terwijl de eerste temperatuurmeting met behulp van warmtebeeldcamera's wordt uitgevoerd. 152. Gelet op het voorgaande is de Geschillenkamer van oordeel dat de betrokkenen niet naar behoren werden ingelicht over het feit dat hun temperatuur met warmtebeeldcamera's kon worden opgenomen, en dat het dus mogelijk is dat de temperatuur van een betrokkene werd opgenomen zonder dat deze daarvan op de hoogte was. De Geschillenkamer stelt derhalve een inbreuk op artikel 5.1.a van de AVG vast. 153. Het tweede element dat ter beoordeling voorligt, betreft de informatie over de rechtsgrondslag van de verwerking (artikel 13.1.
  12. c)en het regelgevend kader voor de verplichting om de lichaamstemperatuur te controleren (artikel 13.2.e). De Inspectiedienst stelde vast dat deze informatie in geen van de voor de betrokkenen beschikbare informatiebronnen terug te vinden was. De verweerder beroept zich in dit verband op de toepasselijkheid van artikel 13.4 en stelt dat de betrokkenen niet onkundig konden zijn van het bestaan van deze verplichting, aangezien deze gebaseerd is op het Protocol waarin uitdrukkelijk werd voorzien door de ministeriële besluiten die in het Belgisch Staatsblad werden bekendgemaakt. 154. De Geschillenkamer kan dit argument van de verweerder niet aanvaarden. Dit zou betekenen dat een verwerkingsverantwoordelijke de betrokkenen nooit hoeft te informeren over de rechtsgrondslag van de verwerking, van zodra die in het Belgisch Staatsblad is bekendgemaakt. Deze logica is duidelijk in strijd met artikel 13.1.c, 13.2.e en overweging 58 die voorschrijven dat dergelijke informatie moet worden verstrekt op een wijze die 'beknopt, eenvoudig toegankelijk en begrijpelijk' is en dat hiervoor 'duidelijke en eenvoudige taal' moet worden gebruikt. 44 155. De uitzondering waarin artikel 13.4 van de AVG voorziet, is overigens slechts van toepassing 'wanneer en voor zover de betrokkene reeds over de informatie beschikt', wat impliceert dat de betrokkene effectief over deze informatie moet beschikken. Het loutere feit dat de informatie beschikbaar is in het Belgisch Staatsblad voldoet niet aan dit criterium. Hoe dan ook, het Protocol waarop de verweerder zich voor de litigieuze verwerking baseert, moest niet eens vóór midden augustus 2020 worden bekendgemaakt, hoewel het geacht werd van toepassing te zijn vanaf 8 juni.45 156. In tegenstelling tot wat de verweerder betoogt, is de verwerkingsverantwoordelijke bovendien verplicht om aan de betrokkene niet alleen mee te delen op welke alinea van artikel 6 de gegevensverwerking gebaseerd is, maar ook welke tekst en bepaling precies de grondslag vormen 44 45 AVG, overweging 58. Onderzoeksverslag, pag. 32. De Inspectiedienst meldt dat de FOD pas tot publicatie overging na tussenkomst van de Inspectiedienst in een ander soortgelijk dossier. Beslissing ten gronde 47/2022 - 32/73 van de wettelijke verplichting waarop de verwerking op grond van artikel 6.1.c van de AVG gebaseerd is. Een loutere verwijzing naar 'een wettelijke verplichting' zonder deze te vermelden kan niet volstaan om aan te nemen dat de betrokkenen voldoende werden geïnformeerd. De betrokkenen zouden in een dergelijk geval nooit kunnen nagaan of een wettelijke verplichting in de zin van artikel 6.1.c effectief bestaat en uit de betrokken wettelijke bepaling voortvloeit. 157. De Geschillenkamer stelt vast dat de betrokkenen dat in dit geval inderdaad niet konden, aangezien de verweerder niet naar het betreffende Protocol en evenmin naar de ministeriële besluiten op het moment van de verwerking verwees als grondslag voor zijn wettelijke verplichting om de verwerking uit te voeren. Omdat de verwerkte gegevens gezondheidsgegevens zijn, moet de verweerder zich bovendien kunnen verantwoorden voor een van de in artikel 9.2 van de AVG genoemde uitzonderingen. Deze verantwoording moet ook opgenomen zijn in de informatie die aan de betrokkene wordt verstrekt. De verwijzing naar de precieze wettelijke normen is van essentieel belang om ervoor te zorgen dat de betrokkene op de hoogte is van zijn rechten en plichten bij elke verwerking. 158. De Geschillenkamer stelt derhalve een inbreuk vast op de artikelen 13.1.c en 13.2.e van de AVG. 159. In verband met het derde en het vierde element, d.w.z. de bewaringstermijn van de gegevens en het recht om een klacht in te dienen bij een gegevensbeschermingsautoriteit, stelt de Geschillenkamer vast dat de verweerder deze tekortkomingen erkent. De inbreuk op de artikelen 13.2.a en 13.2.d is aangetoond. 160. Met betrekking tot het vijfde element, d.w.z. het doel, verwijst de Geschillenkamer naar haar onderstaande overwegingen waarin zij van oordeel is dat het doel niet voldoende werd toegelicht in de informatiedocumenten vóór de wijziging van het privacybeleid op 2 december 2020 (punt 195 e.v.). Zij stelt derhalve op dit punt een inbreuk op artikel 13.1.c vast. 161. De Geschillenkamer stelt dus een inbreuk vast op de artikelen 5.1.a, 13.1.c, 13.2.d, 13.2.a en 13.2.e tussen 15 juni en 2 december 2020 voor wat de vertrekken betreft.
  13. b)inbreuken die plaatsvonden vanaf 2 december 2020 voor wat de vertrekken betreft Vaststellingen van de Inspectiedienst 162. Met betrekking tot de inbreuken die vanaf 2 december 2020 plaatsvonden bij het vertrek, 46 is de Inspectiedienst van mening dat deze verband houden met de volgende elementen: 46 Datum waarop de gewijzigde privacyverklaring online werd geplaatst. Beslissing ten gronde 47/2022 - 33/73 - de ingeroepen rechtmatigheidsgrondslag wordt onvoldoende gepreciseerd (inbreuk op artikel 13.1.c); - er wordt nergens vermeld dat de temperatuur met behulp van warmtebeeldcamera's wordt gecontroleerd (inbreuk op artikel 5.1.a); - de mogelijke gevolgen van het niet verstrekken van de gegevens worden niet vermeld en er wordt niet verwezen naar het IR (inbreuk op artikel 13.2.e); - het doel van de verwerking wordt onvoldoende omschreven (zie punt 184 e.v.); - de privacyverklaring verwijst nog naar de wet van 8 december 1992 die inmiddels werd opgeheven. Standpunt van de verweerder 163. De verweerder is van mening dat de wijziging van zijn privacyverklaring (op 23 november 2020, met publicatie op 2 december 2020) de rechtmatigheidsgrondslag duidelijk aangeeft. Hij meent dat de Inspectiedienst een voorwaarde toevoegt aan artikel 13.1.c door te eisen dat de wettelijke bepaling(
  14. en)waarop de verwerking gebaseerd is, duidelijk wordt (worden) vermeld. 164. Met betrekking tot het gebrek aan informatie over het gebruik van camera's en de kwestie van het doel verwijst de verweerder naar zijn hierboven vermelde overwegingen (zie punt 141 e.v. en punt 160) en betwist hij de grieven. 165. Inzake de verwijzing naar het IR meent hij dat dit inderdaad beter had gekund, maar dat dit op zich geen tekortkoming ten aanzien van zijn informatieplicht vormt, te meer daar het IR in de gebouwen aanwezig is vóór elke temperatuurcontrole. 166. De verweerder erkent dat de verwijzing naar de wet van 1992 een materiële fout is, die zal worden gecorrigeerd. Standpunt van de Geschillenkamer 167. Het eerste element betreft de naleving van artikel 13.1.c dat voorschrijft dat de rechtsgrondslag voor de verwerking moet worden vermeld. Zoals zowel de Inspectiedienst als de verweerder hebben verklaard, bevatte het privacybeleid van de verweerder vanaf 2 december 2020 de volgende vermelding: 168. "Ten tijde van een epidemie of pandemie kunnen wij de temperatuur meten om te controleren of deze hoger is dan 38°C. Dit gebeurt alleen op basis van een wettelijke verplichting en deze gegevens worden niet opgeslagen of hergebruikt voor andere doeleinden dan het beschermen van de gezondheid van de mensen die op doorreis zijn op de luchthaven. De gegevens worden bewaard gedurende enkele minuten." [vrije vertaling] Beslissing ten gronde 47/2022 - 34/73 169. De verweerder meent dat hiermee aan de vereiste van artikel 13.1.c van de AVG voldaan is, terwijl de Inspectiedienst meent dat de precieze wettelijke bepaling(
  15. en)had(den) moeten worden vermeld, evenals de uitzondering die in artikel 9.2 van de AVG opgenomen is om de verwerking van gezondheidsgegevens te verantwoorden. 170. Voor de Geschillenkamer impliceert de naleving van artikel 13.1.c dat de betrokkene volledig moet worden geïnformeerd over zowel de precieze rechtsgrondslag voor de verwerking als de tekst en de precieze bepaling die de wettelijke verplichting schept waarop de verwerking uit hoofde van artikel 6.1.c gebaseerd is. In dit verband verwijst zij naar punt 153 e.v. hierboven en constateert zij een inbreuk op artikel 13.1.c van de AVG. 171. Het tweede punt betreft het feit dat de temperatuurmeting met behulp van warmtebeeldcamera's nergens zou zijn vermeld (inbreuk op artikel 5.1.a). De Geschillenkamer verwijst in dit verband naar haar hierboven geformuleerde standpunt dat op dit punt geldig blijft (zie punt 141 e.v.) en stelt een inbreuk vast op artikel 5.1.a van de AVG. 172. Het derde punt betreft het niet vermelden van de mogelijke gevolgen van het niet verstrekken van de gegevens door het ontbreken van een verwijzing naar het IR (inbreuk op artikel 13.2.e). De Inspectiedienst is van oordeel dat niet werd voldaan aan de verplichting om te wijzen op het regelgevende karakter van de verplichting om de gegevens te verstrekken en op de mogelijke gevolgen van het niet verstrekken van de persoonsgegevens, zoals artikel 13.2.e van de AVG voorschrijft. De verweerder is van mening dat, aangezien deze informatie in het IR opgenomen is, aan de verplichting van artikel 13.2.e werd voldaan, al had een verwijzing naar het IR in het privacybeleid kunnen worden opgenomen. 173. De Geschillenkamer stelt discrepanties vast tussen de informatie die in de verschillende onderzochte documenten aan de betrokkenen werd verstrekt. Het privacybeleid vermeldt immers dat de verwerking gebaseerd is op een wettelijke verplichting (ook al is deze vermelding onvolledig, zie punt 153 e.v.). Het zegt echter niets over de gevolgen van het weigeren van de verwerking. Het IR vermeldt wel degelijk dat de toegang tot de terminal zal worden geweigerd "aan eenieder die weigert zich aan een temperatuurcontrole te onderwerpen en bij wie een lichaamstemperatuur van meer dan 38°C wordt vastgesteld na ten minste twee metingen." 47 Het vermeldt echter niet de bron van deze verplichting.48 Hetzelfde geldt voor de pagina "Vaak gestelde vragen (FAQ)": er wordt vermeld welke de gevolgen zijn wanneer een temperatuur van meer dan 38°C wordt vastgesteld, maar niet welke de bron van deze verplichting is. Geen van deze drie documenten verwijst naar de andere documenten, wat impliceert dat een betrokkene die slechts één document had geraadpleegd, niet over alle informatie beschikte waarop hij recht had. De Geschillenkamer acht dit in strijd met de vereiste dat de informatie 'beknopt, eenvoudig toegankelijk en begrijpelijk' moet zijn en dat hiervoor 47 IR, artikel 8 en FAQ [vrije vertaling] 48 IR, artikel 8: "De luchthaven is verplicht dit te doen." [vrije vertaling] Beslissing ten gronde 47/2022 - 35/73 'duidelijke en eenvoudige taal' moet worden gebruikt." 49 Zij stelt derhalve een inbreuk vast op artikel 13.2.e van de AVG. 174. Het vierde element betreft de vermelding van het doel. In dit verband merkt de Geschillenkamer op dat het doel vanaf 2 december 2020 in het privacybeleid van de verweerder werd omschreven als "het beschermen van de gezondheid van de mensen die op doorreis zijn op de luchthaven." Dit doel is echter niet als dusdanig in het IR terug te vinden. 175. Het vijfde element is de verwijzing naar de wet van 8 december 1992 (die werd opgeheven) in het privacybeleid. Dit element wordt door de verweerder niet betwist en de Geschillenkamer stelt derhalve vast dat deze privacyverklaring onjuist is en moet worden bijgewerkt. 176. De Geschillenkamer stelt dus een inbreuk vast op de artikelen 5.1.a, 13.1.c en 13.2.e.
  16. c)Aankomsten uit een rode zone Vaststellingen van de Inspectiedienst 177. Met betrekking tot de aankomsten vanuit een rode zone stelde de Inspectiedienst een inbreuk vast op de artikelen 5.1.a, 12.1 en 13 van de AVG op basis van de volgende elementen: - volgens de informatie in het IR en op de website hebben deze controles tot doel de toegang tot de terminal te beperken voor mensen met een temperatuur van meer dan 38°C, wat in het kader van de aankomstcontroles onjuist is (zie punt 49); - nergens wordt vermeld dat de temperatuur met warmtebeeldcamera's wordt gecontroleerd; - de informatie die wordt verstrekt aan de passagiers die uit een rode zone terugkeren, zegt niets over de omstandigheden waarin de controle wordt uitgevoerd (artikel 5.1.a). Standpunt van de verweerder 178. De verweerder is in de eerste plaats van mening dat de Inspectiedienst van een verkeerd uitgangspunt vertrekt, omdat hij zich ten onrechte op slechts twee documenten baseert in plaats van alle informatiebronnen in overweging te nemen. 179. Hij voegt eraan toe dat één versie van het IR online was gezet om redenen van efficiëntie en kostenbesparing. Bovendien vermeldt het IR duidelijk dat de temperatuur van de passagiers zal worden gemeten. 180. Tot slot betwist de verweerder het innovatieve karakter van de warmtebeeldcamera's. 49 AVG, overweging 58. Beslissing ten gronde 47/2022 - 36/73 Standpunt van de Geschillenkamer 181. Met betrekking tot het eerste punt - het doel van de temperatuurcontrole - merkt de Geschillenkamer op dat het IR vermeldt dat de temperatuurcontrole verplicht is en dat de toegang tot de terminal zal worden geweigerd aan wie weigert zich eraan te onderwerpen of een temperatuur van meer dan 38°C heeft na ten minste twee metingen. Het IR zegt niets over de terugkeer uit een rode zone, waar de enige consequentie van een temperatuur van meer dan 38°C is dat de betrokkene een bewustmakingsdocument ontvangt. De overhandiging van dit document heeft geen belangrijke gevolgen voor de rechten van de betrokkene. Door niet te specificeren dat de beschreven controle alleen van toepassing is op de vertrekken, suggereert de tekst van het IR echter dat een persoon bij aankomst de toegang tot de terminal kan worden geweigerd, wat verwarring schept en problematisch is met betrekking tot het transparantiebeginsel. 182. Met betrekking tot de formulering van de informatiebanner en de gepubliceerde 'Vaak gestelde vragen (FAQ's)' wordt opgemerkt dat deze niet specificeren dat het toegangsverbod tot de terminal alleen bij de vertrekken geldt, waardoor mensen zouden kunnen denken dat hen ook bij aankomst de toegang tot de terminal kan worden ontzegd. Ook dit stelt een probleem op het vlak van het transparantiebeginsel (artikel 5.1.a AVG). 183. Voor wat de tweede vraag betreft, verwijst de Geschillenkamer naar haar hierboven geformuleerde overwegingen, die geldig blijven. Zij merkt ook op dat, zoals de Inspectiedienst meldt, de affiches die bij de vertrekken werden uitgehangen (zie punt 124), niet aanwezig zijn bij de aankomsten, zodat de informatie voor de passagiers die uit een rode zone aankomen, nog gebrekkiger is dan deze die aan de vertrekkende passagiers wordt verstrekt. 184. De Geschillenkamer stelt derhalve een inbreuk op de artikelen 5.1.a en 12.1. vast. II.3.5 Vaststelling 2:50 Schending van het principe van de doelbinding conform artikel 5.1.b van de AVG Vaststellingen van de Inspectiedienst 185. Volgens de Inspectie is het doel van de verwerking de "bescherming van de gezondheid van de personen die op doorreis zijn op de luchthaven en van de werknemers die in de terminal werken", aangezien dit het antwoord is dat de verweerder tijdens het onderzoek gaf en dat werd herhaald in 50 Zoals eerder aangegeven, heeft de Geschillenkamer besloten om de beoordeling van vaststellingen 2 en 3 van het onderzoeksverslag om te keren. Beslissing ten gronde 47/2022 - 37/73 de gegevensbeschermingseffectbeoordeling die de verweerder aan de Inspectie heeft overgemaakt. 186. De Inspectiedienst merkt op dat de verweerder het doel van de betreffende verwerkingen onvoldoende nauwkeurig heeft bepaald in overeenstemming met artikel 5.1.b van de AVG, aangezien de verwerkingsverantwoordelijke niet aangaf dat de verwerking voor de betrokkenen een verschillend doel en verschillende gevolgen had naargelang van het type controle dat werd uitgevoerd (bij vertrek of bij aankomst). Standpunt van de verweerder 187. De verweerder herinnert er allereerst aan dat het begrip 'doel' niet wordt gedefinieerd in de AVG en dat hij zich dus baseert op een definitie van de CNIL (Franse gegevensbeschermingsautoriteit). Hij meent dat het doel van de verwerking voldoende werd bepaald: de gezondheid beschermen van de personen die op doorreis zijn in de luchthaven en van het personeel in de terminal. Het definiëren van de gevolgen van een verwerking is volgens de regelgeving geen voorwaarde voor de geldigheid van het doelbindingsbeginsel. De verweerder voegt eraan toe dat het verschil in behandeling bij vertrek en bij aankomst gerechtvaardigd was gezien de verschillende situaties en voortvloeit uit het gezond verstand. Mensen die uit een rode zone komen, kunnen namelijk niet worden teruggestuurd. Hij voegt eraan toe dat het nooit nodig is geweest om de toegang tot de terminal te weigeren aan personen van wie de temperatuur hoger was dan 38°C, aangezien zij uit vrije wil besloten om hun reis niet voort te zetten. 188. Hij besluit dat de doeleinden van de verwerking duidelijk, welomschreven en gerechtvaardigd waren en dat hij steeds het evenredigheidsbeginsel heeft geëerbiedigd door het evenwicht te bewaren tussen de belangen van de volksgezondheid en het privéleven van de betrokkenen. Beoordeling door de Geschillenkamer 189. Artikel 5.1.b van de AVG schrijft voor dat de gegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden mogen worden verwerkt. De Geschillenkamer meent dat de kwestie van het door de verweerder aangegeven verwerkingsdoel en het probleem van de rechtsgrondslag van dit doel in dit geval afzonderlijk kunnen worden geanalyseerd (zie punt 102 e.v. hierboven). De aangevoerde rechtsgrondslag voorziet niet - of niet duidelijk genoeg - in een doel (zie punt 195 e.v.). Daarom moet het door de verwerkingsverantwoordelijke aangegeven doel worden onderzocht. 190. Voor de interpretatie van dit beginsel verwijst de Geschillenkamer naar het advies van de Groep Gegevensbescherming Artikel 29 waarin nader wordt omschreven wat wordt verstaan onder een Beslissing ten gronde 47/2022 - 38/73 uitdrukkelijk omschreven doel51 in de zin van Richtlijn 95/46.52 Het is belangrijk op te merken dat de hoofdkenmerken van het beginsel van doelbinding identiek zijn gebleven tussen Richtlijn 95/46 53 en de AVG. 191. In verband met het welbepaalde karakter van het doel merkt de Geschillenkamer op dat de verweerder dit doel in zijn antwoord op de vragen van de Inspectiedienst duidelijk omschrijft als zijnde "het beschermen van de gezondheid van de personen die op doorreis zijn in de luchthaven", hetgeen vervolgens wordt herhaald in de door hem uitgevoerde gegevensbeschermingseffectbeoordeling. Dit is ook terug te vinden in het Register van de verwerkingsactiviteiten waar het verkort wordt omschreven als 'bescherming van de gezondheid'. 192. De Geschillenkamer oordeelt derhalve dat het doel voldoende bepaald is. 193. Met betrekking tot het uitdrukkelijk omschreven karakter van het doel, wordt in het advies van de Groep Gegevensbescherming Artikel 29 het volgende uitgelegd: "De doeleinden van de verzameling moeten niet alleen duidelijk gekend zijn door de personen die belast zijn met het verzamelen van de gegevens. Ze moeten eveneens uitdrukkelijk worden geformuleerd. [...] Het uiteindelijke doel van deze vereiste is ervoor te zorgen dat de doeleinden qua betekenis en intentie ondubbelzinnig en nauwkeurig worden vermeld. De betekenis moet duidelijk zijn en mag geen twijfel oproepen of moeilijk te begrijpen zijn. [...] De verplichting om de doelstellingen 'uitdrukkelijk' te vermelden draagt bij tot transparantie en voorspelbaarheid. Zij maakt het mogelijk om ondubbelzinnig de grenzen te bepalen waarbinnen de verwerkingsverantwoordelijken de verzamelde persoonsgegevens mogen gebruiken, met het doel de betrokkenen te beschermen. Zij helpt iedereen die gegevens verwerkt in naam van de verwerkingsverantwoordelijke, evenals de betrokkenen, de gegevensbeschermingsautoriteiten en andere betrokken partijen, om een gemeenschappelijk begrip te hebben van hoe gegevens mogen worden gebruikt. Dit verkleint het risico dat de verwachtingen van de betrokkenen verschillen van die van de verwerkingsverantwoordelijke." 54 51 Groep Gegevensbescherming Artikel 29, 'Advies 03/2013 over doelbinding', op. cit., pag. 17. 52 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens 53 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens 54 Groep Gegevensbescherming Artikel 29, 'Advies 03/2013 over doelbinding', op. cit., pag. 17. Vrije vertaling. Beslissing ten gronde 47/2022 - 39/73 194. Het advies van de werkgroep legt dus de nadruk op de noodzaak van het uitdrukkelijk vermelden van het doel, zodat iedereen de reden voor de gegevensverwerking begrijpt en misverstanden worden voorkomen. In verband met de manier waarop dat doel moet worden geformuleerd, benadrukt het advies de volgende elementen: "In termen van verantwoordelijkheid zal de schriftelijke vermelding van het doel en het aanmaken van geschikte documenten bijdragen om aan te tonen dat de verwerkingsverantwoordelijke heeft voldaan aan de vereiste in artikel 6, lid 1, punt b). 55 Dit maakt het voor de betrokkenen ook mogelijk hun rechten op doeltreffender wijze uit te oefenen - het zal bijvoorbeeld het oorspronkelijke doel bewijzen en de vergelijking met de latere doeleinden van de verwerking mogelijk maken." 56 195. Naar het oordeel van de Geschillenkamer hangt dit punt dus nauw samen met de kwestie van transparantie en informatie. In dit verband verwijst zij naar de hierboven gemaakte opmerkingen (zie de punten 162 en 174) die zij ook hier toevoegt. Uit de verschillende documentatiebronnen blijkt dat het privacybeleid geen informatie bevatte over het doel van de verwerking voordat het op 2 december 2020 werd gewijzigd. Pas naar aanleiding van deze wijziging werd het doel toegevoegd en omschreven als "de gezondheid beschermen van de personen die op doorreis zijn in de luchthaven." 196. Het IR bevatte wel een artikel 8 waarin staat dat de toegang tot de terminal zal worden geweigerd aan "eenieder die weigert zich aan een temperatuurcontrole te onderwerpen en bij wie een lichaamstemperatuur van meer dan 38°C wordt vastgesteld na ten minste twee metingen." Het doel kan worden afgeleid uit de tekst van het IR, maar het wordt niet uitdrukkelijk omschreven en het wordt niet aan een bepaalde verwerking gekoppeld. De FAQ-pagina bevat ook een soortgelijke zin. 197. Op basis van voorgaande punten komt de Geschillenkamer tot de conclusie dat het doel van de verwerking niet uitdrukkelijk omschreven was. Niet alleen werd het doel niet bij de aanvang van de verwerking bekendgemaakt, het werd ook pas opgesteld, uitdrukkelijk geformuleerd en aan de GBA en de betrokkenen meegedeeld na het beantwoorden van een vraag van de Inspectiedienst, de aanpassing van het privacybeleid in december 2020 en de voltooiing van de GEB drie maanden na de aanvang van de verwerking. 198. In verband met de rechtmatigheid van het doel meent de Geschillenkamer dat het doel "de gezondheid beschermen van de personen die op doorreis zijn in de luchthaven en van het personeel dat in de terminal werkt" wel degelijk rechtmatig is, met name gelet op het feit dat de verwerking werd erkend als zijnde gerechtvaardigd om redenen van algemeen belang op het gebied van de volksgezondheid conform artikel 9.2.i van de AVG (zie punt 84). 55 Van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. 56 Groep Gegevensbescherming Artikel 29, 'Advies 03/2013 over doelbinding', op. cit., pag. 18. Vrije vertaling. Beslissing ten gronde 47/2022 - 40/73 199. De Geschillenkamer stelt derhalve een inbreuk vast op artikel 5.1.b van de AVG wegens de nietuitdrukkelijke aard van het doel. II.3.6 Vaststelling 4: schending van de verplichting om vóór de verwerking een gegevensbeschermingseffectbeoordeling uit te voeren met betrekking tot de gegevensbescherming (inbreuk op artikel 35.1) 200. Op basis van zijn onderzoek concludeert de Inspectiedienst dat artikel 35.1 van de AVG werd overtreden en wel om de volgende redenen.
  17. a)In verband met de verplichting om een GEB uit te voeren Vaststellingen van de Inspectiedienst 201. De Inspectiedienst meent dat een GEB noodzakelijk was op basis van de volgende criteria: - de verwerking heeft betrekking op gevoelige gegevens, d.w.z. gegevens in verband met de gezondheid; - het gaat om een grootschalige verwerking; - de behandeling impliceert een stelselmatige monitoring van bepaalde passagiers die worden verplicht zich te onderwerpen aan een controle van hun lichaamstemperatuur; - de behandeling omvat het gebruik of de toepassing van innovatieve technologische of organisatorische systemen; - de verwerking heeft deels betrekking op kwetsbare personen en meer in het bijzonder minderjarigen; - artikel 23 van de wet van 30 juli 2018 57 bepaalt uitdrukkelijk: "In uitvoering van artikel 35.10 van de Verordening wordt een specifieke gegevensbeschermingseffectbeoordeling verricht vóór de verwerkingsactiviteit, ook al werd reeds een algemene gegevensbeschermingseffectbeoordeling uitgevoerd in het kader van de vaststelling van de wettelijke grondslag." Standpunt van de verweerder 202. De verweerder stelt allereerst dat alleen de gegevens van de personen met een temperatuur van meer dan 38°C worden verwerkt, aangezien alleen zij met een camera worden geregistreerd. 57 Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. Beslissing ten gronde 47/2022 - 41/73 203. In verband met het begrip 'grootschaligheid' meent de verweerder dat de Inspectiedienst zich niet op de juiste cijfers baseert, aangezien hij iedereen in aanmerking neemt die op de luchthaven was in plaats van de mensen met een lichaamstemperatuur van meer dan 38°C. Het is momenteel onmogelijk om het precieze aantal te achterhalen, omdat de samenvattende bestanden met het aantal interventies wekelijks werden vernietigd. 204. Voor de passagiers die uit een rode zone terugkeren, gaat de Inspectiedienst er zonder enige motivatie van uit dat het om een grootschalige verwerking zou gaan. 205. De verweerder is van mening dat alleen het criterium van de stelselmatige monitoring van bepaalde passagiers ter zake relevant is. Alleen dit criterium verplichtte de verweerder om een GEB uit te voeren. 206. Tot slot betwist de verweerder het innovatieve karakter van de camera's. Volgens hem gaat het om een oude technologie. Beoordeling door de Geschillenkamer 207. Artikel 35 bepaalt in welke omstandigheden het voor een verwerkingsverantwoordelijke noodzakelijk is om een GEB uit te voeren. Dit artikel wordt hieronder gedeeltelijk overgenomen: "Artikel 35 Gegevensbeschermingseffectbeoordeling 1. Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen voert de verwerkingsverantwoordelijke vóór de verwerking een beoordeling uit van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens. Eén beoordeling kan een reeks vergelijkbare verwerkingen bestrijken die vergelijkbare hoge risico's inhouden. 2. Wanneer een functionaris voor gegevensbescherming is aangewezen, wint de verwerkingsverantwoordelijke bij het uitvoeren van een gegevensbeschermingseffectbeoordeling diens advies in. 3. Een gegevensbeschermingseffectbeoordeling als bedoeld in lid 1 is met name vereist in de volgende gevallen: Beslissing ten gronde 47/2022 - 42/73
  18. a)een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen, die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd waaraan voor de natuurlijke persoon rechtsgevolgen zijn verbonden of die de natuurlijke persoon op vergelijkbare wijze wezenlijk treffen;
  19. b)grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld in artikel 9, lid 1, of van gegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10; of
  20. c)stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten." 208. De Geschillenkamer preciseert verder dat de GBA een lijst van verwerkingen heeft vastgesteld waarvoor een GEB vereist is.58 Zij merkt ook op dat, voor wat het gebruik van warmtebeeldcamera's betreft, de Europese Toezichthouder voor Gegevensbescherming (EDPS) in een standpunt van 1 februari 2015 reeds kon bevestigen dat een GEB inderdaad vereist is.59 209. De Geschillenkamer meent overigens dat overweging 91 van de AVG de noodzaak van een GEB in dit geval bevestigt. Zij luidt namelijk als volgt: "Een gegevensbeschermingseffectbeoordeling dient ook te worden gemaakt wanneer persoonsgegevens worden verwerkt met het oog op het nemen van besluiten met betrekking tot specifieke natuurlijke personen na een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen die is gebaseerd op de profilering van deze gegevens, of na de verwerking van bijzondere categorieën van persoonsgegevens, biometrische gegevens, of gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen." 60 210. Er werd aangetoond dat de betreffende verwerking betrekking heeft op bijzondere categorieën van gegevens (gezondheidsgegevens) en dat zij, althans bij het vertrek, tot gevolg heeft dat wordt beslist of passagiers en begeleiders de terminal al dan niet mogen betreden. 211. De Geschillenkamer merkt op dat de verweerder niet betwist dat een GEB voor de betreffende verwerking verplicht was. Zijn kritiek betreft voornamelijk de door de Inspectiedienst gehanteerde criteria, waarvan hij in bepaalde gevallen de relevantie betwist (zie punten 202-206 hierboven). 212. Volgens de Geschillenkamer beoordeelt de verweerder de criteria om te bepalen of een GEB al dan niet vereist is, achteraf en niet op de juiste manier. Toen de verweerder zijn GEB moest uitvoeren (zie punt 261 e.v. hieronder), wist hij immers niet welk percentage van de passagiers een temperatuur van 58 Gegevensbeschermingsautoriteit, Beslissing nr. 01/2019 van 16 januari 2020. https://gegevensbeschermingsautoriteit.be/publications/beslissing-nr.-01-2019-van-16-januari-2019.pdf 59 2015 60 Eigen vetmarkering van de Geschillenkamer. EDPS, Brief van 1 februari 01_letter_klimowski_2015_en.pdf Beschikbaar op: Beschikbaar op: https://edps.europa.eu/sites/default/files/publication/16-02- Beslissing ten gronde 47/2022 - 43/73 meer dan 38°C zou hebben en kon hij dus niet vaststellen dat dit 'extreem laag' was, zoals hij a posteriori in zijn conclusie doet.61 De verweerder had er rekening mee moeten houden dat alle verwachte passagiers potentieel een betrokkene konden zijn. Dit was dus het cijfer waarmee rekening moest worden gehouden bij de beoordeling of het al dan niet om een grootschalige verwerking ging. 213. Hoewel de tijdelijk opgeslagen beelden alleen betrekking hebben op personen met een temperatuur van meer dan 38°C, worden bovendien alle passagiers en begeleiders bij het vertrek en alle passagiers die uit een rode zone terugkeren, aan een temperatuurcontrole onderworpen. De Inspectiedienst oordeelde dus op basis van een correcte redenering dat voor de vaststelling van 'de aard, de omvang en de context' van de verwerking, moest worden uitgegaan van de veronderstelling dat deze van toepassing was op alle betrokken passagiers en niet alleen op de passagiers met een temperatuur van meer dan 38°C. 214. In verband met het innovatieve karakter van de warmtebeeldcamera's is de Geschillenkamer van oordeel dat dit criterium, zelfs indien het niet wordt aangetoond, niets afdoet aan onderstaande conclusie, namelijk dat een GEB nodig was. 215. De Inspectiedienst was ook van mening dat een GEB vereist was op grond van artikel 23 van de wet van 30 juli 2018 (zie punt 201) die zegt dat "een specifieke gegevensbeschermingseffectbeoordeling [wordt] verricht vóór de verwerkingsactiviteit, ook al werd reeds een algemene gegevensbeschermingseffectbeoordeling uitgevoerd in het kader van de vaststelling van de wettelijke grondslag." De Geschillenkamer wijst er echter op dat dit artikel alleen van toepassing is op de publieke sector, zoals gespecificeerd in artikel 19 van dezelfde wet, en dat het in dit geval dus niet van toepassing is.
  21. b)In verband met de verplichting om voorafgaand aan de verwerking een GEB uit te voeren Vaststellingen van de Inspectiedienst 216. De Inspectiedienst stelt vast dat de GEB van BSCA nv op 18 september 2020 werd uitgevoerd, terwijl de betrokken verwerkingen werden geïmplementeerd op 15 juni 2020 voor de betrokken personen bij het vertrek en op 7 september 2020 voor de passagiers bij aankomst uit een rode zone. Volgens de Inspectiedienst moet de GEB worden uitgevoerd vóór de aanvang van de verwerking en voorziet artikel 35 van de AVG in geen enkele uitzondering. 61 Conclusie van de verweerder, pag. 45. Beslissing ten gronde 47/2022 - 44/73 Standpunt van de verweerder 217. De verweerder beklemtoont het uitzonderlijke karakter van de situatie waarin hij zich bevond. De AVG bevat weliswaar geen enkele uitzondering op deze verplichting, maar de verweerder is van mening dat het hier duidelijk om een geval van overmacht gaat dat de wetgever niet had kunnen voorzien. Hij merkt op dat de functionaris voor gegevensbescherming ontslagen was, evenals de meerderheid van het personeel. Pas toen de gezondheidscrisis enigszins onder controle was, kon de verweerder de GEB uitvoeren, zij het achteraf. Hij herinnert er ook aan dat hij geen andere keuze had dan het controlesysteem op te zetten - wat hem uiteraard niet ontslaat van deze verplichting - maar dat hij deze verplichting nagekomen is zodra hij daartoe in staat was. Beoordeling door de Geschillenkamer 218. Voor de Geschillenkamer blijkt uit de tekst van de AVG 62 duidelijk, zoals de verweerder erkent, dat de GEB moet worden uitgevoerd voordat de verwerking plaatsvindt. De tekst voorziet niet in uitzonderingen. De Geschillenkamer merkt op dat de GEB pas op 18 september 2020 werd uitgevoerd, d.w.z. drie maanden na de aanvang van de verwerking (15 juni 2020). 219. De verweerder toont niet aan wat de omstandigheden van een dergelijke overmacht zouden zijn geweest. 220. De Geschillenkamer stelt derhalve een inbreuk op artikel 35.1 van de AVG vast.
  22. c)In verband met de kwaliteit van de GEB die door de verweerder op grond van artikel 35.7 van de AVG werd uitgevoerd In verband met de beschrijving van de gegevensverwerkingen en de doeleinden van de verwerking in de GEB (artikel 35.7.a AVG) Vaststellingen van de Inspectiedienst 221. De Inspectiedienst merkt op, net als hierboven (zie punt 186), dat het doel van de verwerking niet voldoende werd gespecificeerd. 222. Hij meent ook dat de GEB onvoldoende nauwkeurig de procedure beschrijft die in verband met de controle van de lichaamstemperatuur van de passagiers is ingevoerd, en meer bepaald de gevolgen die deze controle voor de betrokken personen kan hebben. 62 AVG, artikel 35.1 en overweging 90. Beslissing ten gronde 47/2022 - 45/73 223. Verder meent de Inspectiedienst dat de GEB een aantal inconsistenties bevat (met name aangaande de registratie/opslag van persoonsgegevens afkomstig van de warmtebeeldcamera'
  23. s)en geen analyse bevat omtrent de deugdelijkheid van de rechtsgrondslag die op grond van de artikelen 6.1, 6.3 en 9.2.i van de AVG wordt ingeroepen. Standpunt van de verweerder 224. In het algemeen is de verweerder verbaasd over een aantal van de geformuleerde punten van kritiek, aangezien hij zich voor de uitvoering van zijn GEB op het model van de CNIL heeft gebaseerd, daar de GBA hiervoor over geen enkel instrument beschikt. 225. De verweerder herinnert eraan dat de AVG geen definitie van het begrip 'doel' bevat en dat hij ervoor heeft gekozen dit te definiëren als "de gezondheid beschermen van de mensen die op doorreis zijn in de luchthaven en van het personeel dat in de terminal werkzaam is." De verweerder is van mening dat deze definitie zeer duidelijk is. 226. In verband met het type procedure meent de verweerder dat dit aan de appreciatie van de verwerkingsverantwoordelijke wordt overgelaten en dat er verschillende methoden bestaan. De verweerder betoogt dat het nauwelijks voor te stellen is dat het gebruik van een instrument van een andere autoriteit tot de vaststelling van een tekortkoming leidt, terwijl de GBA zelf geen instrument ter beschikking stelt. 227. De verweerder voegt daaraan toe dat de gevolgen voor de betrokkenen wel degelijk bekend zijn bij de verwerkingsverantwoordelijke - en bij de betrokkenen, gelet op de hun verstrekte informatie -, en dat het dus op zich niet nodig is om elk gevolg in de GEB op te nemen zolang het eindresultaat de risico's voor de rechten en vrijheden van de betrokkenen aangeeft. 228. In verband met de genoemde onnauwkeurigheden voert de verweerder aan dat de GEB alle informatie over de verwerking bevat, inclusief de reden waarom de software de laatste 20 beelden bewaart, en dat deze informatie op verschillende plaatsen in de GEB terug te vinden is. Hij is derhalve van mening dat deze informatie niet ontbreekt, aangezien zij op andere plaatsen in de GEB wordt vermeld. 229. Voor wat de rechtsgrondslag betreft, is de verweerder van mening dat het niet aan de Inspectiedienst is om een verwerkingsverantwoordelijke de schuld te geven van de eventuele lacunes bij de uitvoerende macht die belast is met het toepassen van de wetten en het uitvaardigen van de overeenkomstige uitvoeringsbesluiten. Beoordeling door de Geschillenkamer Beslissing

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.